CVE-2026-116185: OpenRemote before 1.31.0 Cross-Realm Information Disclosure via getGatewayActiveTunnelInfos

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (VulnCheck). Не зависят от анализа CPE в NVD и обычно опережают его.

• openremote core

  • 1.31.0не затронута
  • до 1.31.0затронута · semver

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2026-124436OpenRemote before 1.32.2 Improper Authorization Allows Realm Admins to Modify Global Resources
  34Наблюдать
• CVE-2026-124435OpenRemote before 1.32.2 Stored XSS via Manager Configuration Image Upload
  18Наблюдать
• CVE-2026-116186OpenRemote before 1.31.0 Gateway Authorization Bypass via Reversible mapAssetId
  9Наблюдать

Опубликованы до и после этой записи в том же продукте

• ← РаньшеCVE-2026-11618425 окт. 2026 г. · OpenRemote before 1.31.0 Cross-Realm Gateway Impersonation via Websocket
  8Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Эндпоинт получает запись по идентификатору из запроса, но не проверяет, принадлежит ли она запрашивающему пользователю.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1const invoice = await Invoice.findById(req.params.id);2res.json(invoice);

1const invoice = await Invoice.findOne({2  id: req.params.id,3  ownerId: req.user.id,4});5if (!invoice) return res.sendStatus(404);6res.json(invoice);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.

У MITRE нет сопоставления CAPEC/ATT&CK для этого CWE.