CVE-2026-116184: OpenRemote before 1.31.0 Cross-Realm Gateway Impersonation via Websocket

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (VulnCheck). Не зависят от анализа CPE в NVD и обычно опережают его.

• openremote core

  • 1.31.0не затронута
  • до 1.31.0затронута · semver

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2026-124436OpenRemote before 1.32.2 Improper Authorization Allows Realm Admins to Modify Global Resources
  34Наблюдать
• CVE-2026-116185OpenRemote before 1.31.0 Cross-Realm Information Disclosure via getGatewayActiveTunnelInfos
  21Наблюдать
• CVE-2026-124435OpenRemote before 1.32.2 Stored XSS via Manager Configuration Image Upload
  18Наблюдать

Опубликованы до и после этой записи в том же продукте

• Позже →CVE-2026-11618625 окт. 2026 г. · OpenRemote before 1.31.0 Gateway Authorization Bypass via Reversible mapAssetId
  9Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Эндпоинт получает запись по идентификатору из запроса, но не проверяет, принадлежит ли она запрашивающему пользователю.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1const invoice = await Invoice.findById(req.params.id);2res.json(invoice);

1const invoice = await Invoice.findOne({2  id: req.params.id,3  ownerId: req.user.id,4});5if (!invoice) return res.sendStatus(404);6res.json(invoice);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.

У MITRE нет сопоставления CAPEC/ATT&CK для этого CWE.