Apache OpenMeetings 9.1.0 - 高危 - 远程 - IDOR - WHITEBOARD fileId 植入后房间文件资源提供字节
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · openmeetings-wb-fileid-idor
类别： IDOR 可达性： 远程
Apache OpenMeetings 9.1.0。WHITEBOARD/PRESENTER 的 CREATE_OBJ 会存储客户端 JSON，其中包含任意 fileId。随后，如果 isAtWb 看到该 id，RoomResourceReference 就会提供这些字节。CVE-2026-49488 修复了主持人 fuid 的 OS 路径读取。此处遗留的问题是白板上的数字文件 id。
默认的公开无主持房间：第一个加入者即为主持人。
| ID | 暂无 CVE |
| 类别 | IDOR |
| 可达性 | 远程（房间主持人） |
| CWE | CWE-639 |
| CVSS | 高危：6.5 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N |
| 产品 | Apache OpenMeetings 9.1.0 |
| 认证 | ROOM，无主持公开房间的第一个加入者 |
| 许可证 | GNU Affero GPL v3.0 |
| 实验环境 | 仅 127.0.0.1:18154 |
| 方法 | 汇聚点 | 权限 |
|---|---|---|
房间 WS CREATE_OBJ 携带受害者的 fileId，然后 GET /room/file/{id} | WbPanel.doActionWhiteboard + RoomResourceReference.getFileItem | 侦察（实验环境已验证）： 获取另一用户 FileItem 的字节。实验环境：PNG 57 字节，响应体中有见证标记，HTTP 200 image/png。 |
已修复： CVE-2026-49488 validateLocation OS 路径。DOWNLOAD 仍仅限主持人。组文件若不在 WB 上，仍需要组成员身份。
cd lab
./run.sh
最后一行：SUCCESS OPENMEETINGS-WB-FILEID-WITNESS
建议修复：CREATE_OBJ 必须拒绝调用者无法读取的 fileId。isAtWb 不是 ACL。
Abraxas Labs - https://abraxaslabs.tech - https://github.com/abraxas - https://x.com/abraxas_null - [email protected]