abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · openmeetings-remember-me-password
类别： ATO 可达性： 远程
Apache OpenMeetings 9.1.0。CVE-2026-33266 修复了硬编码的记住我密钥（每实例 AES-GCM）。Cookie LoggedIn 仍保存用户名+密码。可选复选框 credentials:rememberMe，默认关闭。仅携带该 Cookie 的新客户端即可成为该用户。无需密码。无需 JSESSIONID。
| ID | 暂无 CVE |
| 类别 | ATO |
| 可达性 | 远程（窃取的记住我 Cookie） |
| CWE | CWE-522、CWE-287 |
| CVSS | 高危：8.1 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N |
| 产品 | Apache OpenMeetings 9.1.0 |
| 认证 | 可选记住我 Cookie |
| 许可证 | GNU Affero GPL v3.0 |
| 实验环境 | 仅 127.0.0.1:18158 |
| 方法 | 汇聚点 | 权限 |
|---|---|---|
重放 Cookie: LoggedIn | 记住我解密 + signIn | 完整性（实验环境已证实）： 无需密码即可访问已认证主页。不带 Cookie 的对照仍停留在登录页。 |
使用 remember.me.key 离线解密 | AES-GCM 载荷 | 侦察（推断）： 用户名+密码字节。本实验环境手动解密时触发 InvalidTag；重放仍然有效。 |
已修复： 硬编码密钥（CVE-2026-33266）。默认复选框关闭。
cd lab
./run.sh
最后一行：SUCCESS OPENMEETINGS-REMEMBER-ME-WITNESS
建议修复：存储轮换令牌，而非密码。注销时清除 LoggedIn。将 Cookie 标记为 Secure。注册 OTP 时跳过记住我。
Abraxas Labs - https://abraxaslabs.tech - https://github.com/abraxas - https://x.com/abraxas_null - [email protected]