CVE-2026-122007 Control de acceso roto en SettingController de Oqtane Framework
Oqtane Framework anterior a 10.3.0 tiene una vulnerabilidad de control de acceso roto en SettingController.cs que permite a un administrador de sitio autenticado leer y modificar configuraciones de otros sitios de la misma base de datos de tenant enviando un entityId arbitrario para configuraciones de tipo Site o Role, ya que IsAuthorized y FilterPrivate no verifican que el sitio solicitado coincida con el SiteId del alias actual. Se pueden explotar los endpoints /api/setting para divulgar valores privados como…
CVSS 3.1
- CVSS 4.07.4 · alta
- Probabilidad de explotación · EPSS del 09/110,4 % · percentil 32
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
oqtane oqtane.framework
desde 1.0.0 hasta antes de 10.3.0
Qué hacer
- Verificá si usás oqtane.framework y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 6.5 MEDIA
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosAltos
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadAlta
- IntegridadAlta
- DisponibilidadNinguna
CVSS 4.0 · 7.4 ALTA
CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Requisitos del ataquePresentes
- Privilegios requeridosAltos
- Interacción del usuarioNinguna
- Confidencialidad (sistema vulnerable)Alta
- Integridad (sistema vulnerable)Alta
- Disponibilidad (sistema vulnerable)Ninguna
- Confidencialidad (sistemas posteriores)Ninguna
- Integridad (sistemas posteriores)Ninguna
- Disponibilidad (sistemas posteriores)Ninguna
Descripción original
Oqtane Framework before 10.3.0 contains a broken access control vulnerability in SettingController.cs that allows an authenticated site administrator to read and modify settings belonging to other sites within the same tenant database by supplying an arbitrary entityId for Site or Role type settings, since IsAuthorized and FilterPrivate fail to verify the requested site matches the current alias SiteId. Attackers can exploit the /api/setting endpoints to disclose private values such as SMTPPassword, SMTPClientSecret, and ExternalLogin ClientSecret, and to alter another site's OIDC/OAuth2 authentication configuration without requiring host privileges.
Referencias (3)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.