Версии OpenRemote до 1.26.2 содержат уязвимость раскрытия информации в конечной точке REST SyslogResource, из-за которой не удается фильтровать операционные журналы по области. Злоумышленники с ролью read:rules могут получить доступ к конечной точке GET /api/{realm}/syslog/event для получения операционных журналов от всех арендаторов, раскрывая идентификаторы активов, сведения о подключении агента, имена правил и ошибки протокола в многопользовательском развертывании.
Показать оригинальное описание (EN)
OpenRemote versions before 1.26.2 contain an information disclosure vulnerability in the SyslogResource REST endpoint that fails to filter operational logs by realm. Attackers with the read:rules role can access the GET /api/{realm}/syslog/event endpoint to retrieve operational logs from all tenants, exposing asset IDs, agent connection details, rule names, and protocol errors across the multi-tenant deployment.
Характеристики атаки
Последствия
Строка CVSS v4.0
Тип уязвимости (CWE)
Уязвимые продукты 1
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Openremote Openremote
cpe:2.3:a:openremote:openremote:*:*:*:*:*:*:*:*
|
— |
1.26.2
|