Раскрытие информации об уязвимостях безопасности — CVE-2026-78829 / 78830 / 78831 / 78832

Публичные технические раскрытия и шаги воспроизведения proof-of-concept для четырёх уязвимостей, которым присвоены идентификаторы CVE в рамках MITRE CVE Program (запрос CVE зарегистрирован 2026-06-20).

Раскрытые уязвимости

CVE ID	Продукт	Уязвимость	CWE	CVSS 3.1	Требуется аутентификация
CVE-2026-78829	Dromara MaxKey 4.x	Отражённый XSS через `redirect_uri` в OAuth-потоке → кража сессии/JWT администратора	CWE-79	8.2 High	Нет (специально сформированная ссылка)
CVE-2026-78830	mingSoft MCMS 6.1.1	Хранимый XSS через неаутентифицированный `/file/upload`	CWE-79	6.1 Medium	Нет
CVE-2026-78831	OpenAuth.Net ≤ 8.3.4	Неаутентифицированная смена произвольного пароля пользователя через `/api/dynamic/Invoke`	CWE-306	9.1 Critical	Нет
CVE-2026-78832	OpenAuth.Net ≤ 8.3.4	Неаутентифицированное раскрытие конфиденциальной информации через `/api/dynamic/GetList`	CWE-200	8.6 High	Нет

Каждая папка содержит:

README.md — полное уведомление: официальное описание CVE, анализ первопричины, пошаговое воспроизведение (пары HTTP-запрос/ответ и однострочники curl), влияние, рекомендации по устранению, ссылки и хронология.
CVE-2026-XXXXX.json — запись об уязвимости в формате CVE JSON 5, соответствующая структуре, используемой официальным репозиторием cvelistV5, подготовленная исследователем для справки.

Примечание о цепочке атак (OpenAuth.Net)

CVE-2026-78831 и CVE-2026-78832 имеют одну и ту же первопричину — Dynamic API (/api/dynamic/*) не выполняет аутентификацию/авторизацию — и могут быть объединены в полную цепочку захвата без аутентификации:

GetList (CVE-2026-78832) выгружает SysUser → все учётные данные в открытом виде;
Invoke (CVE-2026-78831) меняет пароль администратора (или достаточно войти с выгруженным паролем);
Неограниченная неаутентифицированная конечная точка /api/Files/Upload (о ней сообщено отдельно, идентификатор CVE пока не присвоен) позволяет загружать произвольные файлы с потенциалом WebShell/RCE.

Дополнительные находки (идентификатор CVE не присвоен)

В ходе того же исследования в OpenAuth.Net были выявлены ещё две проблемы без аутентификации, которые не получили идентификаторов CVE в рамках текущего присвоения:

Неаутентифицированное удаление данных через /api/dynamic/Delete (CWE-285, включая удаление журнала аудита для противодействия форензике) — Medium;
Неаутентифицированная неограниченная загрузка файлов через /api/Files/Upload (CWE-434, потенциал RCE) — Critical.

Они задокументированы в локальном отчёте об исследовании и могут быть отдельно переданы в CVE Program.

Ответственное раскрытие

Всё воспроизведение выполнялось в контролируемых лабораторных средах на принадлежащих исследователям тестовых экземплярах или авторизованных целях. Чувствительные значения в перехваченных ответах (пароли, токены, секреты) в этих отчётах отредактированы. Эти раскрытия публикуются исключительно в защитных целях — чтобы помочь пользователям затронутых продуктов оценить и снизить риск.

Хронология

Дата	Событие
2026-06-20	Запрос CVE зарегистрирован в MITRE CVE Program
2026-06-24	Завершена проверка OpenAuth.Net в лаборатории
2026-06	CVE-2026-78829 ~ CVE-2026-78832 присвоены MITRE
2026-10-30	Публичное техническое раскрытие на GitHub

Обнаружено и раскрыто CloudFutureSec (@CloudFutureSec).

cve-disclosures

Популярное