Iniciar sesión
Deutsch English Español Polski
Media

Apache OpenMeetings has an Improper Handling of Insufficient Privileges vulnerability

  • Publicada: 09.04.2026
  • Actualizado: 11.10.2026 12:22

Sny registered user can query web service with their credentials and get files/sub-folders of any folder by ID (metadata only NOT contents). Metadata includes id, type, name and some other field. Full list of fields get be checked at FileItemDTO object.

This issue affects Apache OpenMeetings: from 3.10 before 9.0.0.

Users are recommended to upgrade to version 9.0.0, which fixes the issue.

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

PlataformaPaqueteVersiones vulnerablesCorregida en
Java / Kotlin (Maven) org.apache.openmeetings:openmeetings-parent >= 3.10, < 9.0.0 9.0.0

Referencias

Puntuación CVSS 4.3/10
Vector CVSS
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N
Debilidad (CWE)
CWE-274
Plataforma
Java / Kotlin (Maven)
Paquete
org.apache.openmeetings:openmeetings-parent
Publicada
09.04.2026
Actualizado
11.10.2026 12:22

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-78cg-fc6c-w44w - CC BY 4.0

Historial de vulnerabilidades: org.apache.openmeetings:openmeetings-parent

Todas las vulnerabilidades publicadas de este paquete (Java / Kotlin (Maven)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Todas (25) en el archivo
Entradas en total
25
Primera → última
06.2021 04.2026
Sin corrección
0
Explotada en ataques
0

Distribución por gravedad

  • Crítica 5
  • Alta 14
  • Media 6

Divulgaciones por año

Gravedad:
  1. Apache OpenMeetings Uses GET Request Method With Sensitive Query Strings
    Alta · 7.5 CVE-2026-34020 >= 3.1.3, < 9.0.0 9.0.0
  2. Apache OpenMeetings has an Improper Handling of Insufficient Privileges vulnerability esta entrada
    Media · 4.3 CVE-2026-33005 >= 3.10, < 9.0.0 9.0.0
  3. Apache OpenMeetings Uses Hard-coded Cryptographic Key
    Alta · 7.5 CVE-2026-33266 >= 6.1.0, < 9.0.0 9.0.0
  4. Apache OpenMeetings vulnerable to Deserialization of Untrusted Data
    Crítica CVE-2024-54676 >= 2.1.0, < 8.0.0 8.0.0
  5. Apache OpenMeetings Improper Authentication vulnerability
    Alta · 8.1 CVE-2023-29032 >= 3.1.3, < 7.1.0 7.1.0
  6. Apache OpenMeetings vulnerable to remote code execution via null-bye injection
    Alta · 7.2 CVE-2023-29246 >= 2.0.0, < 7.1.0 7.1.0
  7. Apache OpenMeetings missing authentication and can allow user impersonation
    Crítica · 9.8 CVE-2023-28326 >= 2.0.0, < 7.0.0 7.0.0
  8. Apache OpenMeetings displays Tomcat version and detailed error stack trace
    Alta · 7.5 CVE-2017-7683 >= 1.0.0, < 3.3.0 3.3.0
  9. Apache OpenMeetings vulnerable to SQL injection
    Alta · 8.8 CVE-2017-7681 >= 1.0.0, < 3.3.0 3.3.0
  10. Apache OpenMeetings vulnerable to Cross-Site Request Forgery
    Alta · 8.8 CVE-2017-7666 >= 1.0.0, < 3.3.0 3.3.0
  11. Apache OpenMeetings does not correctly validate uploaded XML documents
    Crítica · 10.0 CVE-2017-7664 >= 3.1.0, < 3.3.0 3.3.0
  12. Apache OpenMeetings allows remote attackers to read arbitrary files by attempting to upload a file
    Alta · 7.5 CVE-2016-2164 < 3.1.1 3.1.1
  13. Apache OpenMeetings RCE
    Crítica · 9.8 CVE-2016-8736 < 3.1.2 3.1.2
  14. Apache OpenMeetings vulnerable to Uncontrolled Resource Consumption
    Alta · 7.5 CVE-2017-7684 >= 1.0.0, < 3.3.0 3.3.0
  15. Apache OpenMeetings updates user password in insecure manner
    Alta · 7.5 CVE-2017-7688 >= 1.0.0, < 3.3.0 3.3.0
  16. Apache OpenMeetings allows flash content to be loaded from untrusted domains
    Alta · 7.5 CVE-2017-7680 >= 1.0.0, < 3.3.0 3.3.0
  17. Apache OpenMeetings vulnerable to parameter manipulation attacks
    Alta · 8.2 CVE-2017-7682 >= 3.2.0, < 3.3.0 3.3.0
  18. Apache OpenMeetings has Inadequate Encryption Strength
    Crítica · 9.8 CVE-2017-7673 >= 1.0.0, < 3.3.0 3.3.0
  19. Denial of service in Apache OpenMeetings
    Alta · 7.5 CVE-2020-13951 >= 4.0.0, < 5.1.0 5.1.0
  20. Uncontrolled Resource Consumption in Apache OpenMeetings server
    Alta · 7.5 CVE-2021-27576 >= 4.0.0, < 6.0.0 6.0.0

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación
Newsletter DockRay

La seguridad de tus aplicaciones en tu correo

Vulnerabilidades importantes, recomendaciones concretas y consejos prácticos para tus aplicaciones. Elige tus tecnologías y sigue lo que importa para tu proyecto.

  • Un resumen diario de nuevas vulnerabilidades, también las críticas.
  • Avisos sobre actualizaciones importantes.
  • Consejos prácticos sobre seguridad y monitorización de aplicaciones.

Déjalo vacío para recibir avisos de todas las tecnologías.

Política de privacidad

Suscripción gratuita. Date de baja con un clic en cualquier correo.