DUPIN Alertas · oqtanehttps://alertas.dupin.com.ar/fabricante/oqtane/Alertas de vulnerabilidades de oqtane.esWed, 04 Nov 2026 17:11:57 +000010Vulnerabilidad: CVE-2026-122007 · Control de acceso roto en SettingController de Oqtane Frameworkhttps://alertas.dupin.com.ar/cve/CVE-2026-122007/tg:63268Wed, 04 Nov 2026 17:11:57 +0000VulnerabilidadOqtane Framework anterior a 10.3.0 tiene una vulnerabilidad de control de acceso roto en SettingController.cs que permite a un administrador de sitio autenticado leer y modificar configuraciones de otros sitios de la misma base de datos de tenant enviando un entityId arbitrario para configuraciones de tipo Site o Role, ya que IsAuthorized y FilterPrivate no verifican que el sitio solicitado coincida con el SiteId del alias actual. Se pueden explotar los endpoints /api/setting para divulgar valores privados como…Vulnerabilidad: CVE-2026-122008 · SSRF en la carga de archivos desde URL de Oqtane Frameworkhttps://alertas.dupin.com.ar/cve/CVE-2026-122008/tg:63267Wed, 04 Nov 2026 17:11:53 +0000VulnerabilidadOqtane Framework anterior a 10.3.0 contiene una vulnerabilidad de falsificación de petición del lado del servidor en el endpoint UploadFile de FileController.cs que permite a usuarios registrados autenticados hacer que el servidor obtenga URLs arbitrarias mediante un parámetro url controlado por el llamador pasado a HttpClient.GetStreamAsync sin validar el esquema, el host ni la dirección IP. Se pueden solicitar recursos internos como servicios de metadatos de instancias en la nube o interfaces de administración…