Zaloguj się
Deutsch English Español Polski
Średnia

Apache OpenMeetings has an Improper Handling of Insufficient Privileges vulnerability

  • Ujawniono: 09.04.2026
  • Aktualizacja: 11.10.2026 12:22

Sny registered user can query web service with their credentials and get files/sub-folders of any folder by ID (metadata only NOT contents). Metadata includes id, type, name and some other field. Full list of fields get be checked at FileItemDTO object.

This issue affects Apache OpenMeetings: from 3.10 before 9.0.0.

Users are recommended to upgrade to version 9.0.0, which fixes the issue.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Java / Kotlin (Maven) org.apache.openmeetings:openmeetings-parent >= 3.10, < 9.0.0 9.0.0

Odnośniki

Ocena CVSS 4.3/10
Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N
Słabość (CWE)
CWE-274
Platforma
Java / Kotlin (Maven)
Paczka
org.apache.openmeetings:openmeetings-parent
Ujawniono
09.04.2026
Aktualizacja
11.10.2026 12:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-78cg-fc6c-w44w - CC BY 4.0

Historia podatności: org.apache.openmeetings:openmeetings-parent

Wszystkie opisane podatności tej paczki (Java / Kotlin (Maven)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (25) w archiwum
Wszystkich wpisów
25
Pierwsza → ostatnia
06.2021 04.2026
Bez poprawki
0
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 5
  • Wysoka 14
  • Średnia 6

Ujawnienia w latach

Istotność:
  1. Apache OpenMeetings Uses GET Request Method With Sensitive Query Strings
    Wysoka · 7.5 CVE-2026-34020 >= 3.1.3, < 9.0.0 9.0.0
  2. Apache OpenMeetings has an Improper Handling of Insufficient Privileges vulnerability ten wpis
    Średnia · 4.3 CVE-2026-33005 >= 3.10, < 9.0.0 9.0.0
  3. Apache OpenMeetings Uses Hard-coded Cryptographic Key
    Wysoka · 7.5 CVE-2026-33266 >= 6.1.0, < 9.0.0 9.0.0
  4. Apache OpenMeetings vulnerable to Deserialization of Untrusted Data
    Krytyczna CVE-2024-54676 >= 2.1.0, < 8.0.0 8.0.0
  5. Apache OpenMeetings Improper Authentication vulnerability
    Wysoka · 8.1 CVE-2023-29032 >= 3.1.3, < 7.1.0 7.1.0
  6. Apache OpenMeetings vulnerable to remote code execution via null-bye injection
    Wysoka · 7.2 CVE-2023-29246 >= 2.0.0, < 7.1.0 7.1.0
  7. Apache OpenMeetings missing authentication and can allow user impersonation
    Krytyczna · 9.8 CVE-2023-28326 >= 2.0.0, < 7.0.0 7.0.0
  8. Apache OpenMeetings displays Tomcat version and detailed error stack trace
    Wysoka · 7.5 CVE-2017-7683 >= 1.0.0, < 3.3.0 3.3.0
  9. Apache OpenMeetings vulnerable to SQL injection
    Wysoka · 8.8 CVE-2017-7681 >= 1.0.0, < 3.3.0 3.3.0
  10. Apache OpenMeetings vulnerable to Cross-Site Request Forgery
    Wysoka · 8.8 CVE-2017-7666 >= 1.0.0, < 3.3.0 3.3.0
  11. Apache OpenMeetings does not correctly validate uploaded XML documents
    Krytyczna · 10.0 CVE-2017-7664 >= 3.1.0, < 3.3.0 3.3.0
  12. Apache OpenMeetings allows remote attackers to read arbitrary files by attempting to upload a file
    Wysoka · 7.5 CVE-2016-2164 < 3.1.1 3.1.1
  13. Apache OpenMeetings RCE
    Krytyczna · 9.8 CVE-2016-8736 < 3.1.2 3.1.2
  14. Apache OpenMeetings vulnerable to Uncontrolled Resource Consumption
    Wysoka · 7.5 CVE-2017-7684 >= 1.0.0, < 3.3.0 3.3.0
  15. Apache OpenMeetings updates user password in insecure manner
    Wysoka · 7.5 CVE-2017-7688 >= 1.0.0, < 3.3.0 3.3.0
  16. Apache OpenMeetings allows flash content to be loaded from untrusted domains
    Wysoka · 7.5 CVE-2017-7680 >= 1.0.0, < 3.3.0 3.3.0
  17. Apache OpenMeetings vulnerable to parameter manipulation attacks
    Wysoka · 8.2 CVE-2017-7682 >= 3.2.0, < 3.3.0 3.3.0
  18. Apache OpenMeetings has Inadequate Encryption Strength
    Krytyczna · 9.8 CVE-2017-7673 >= 1.0.0, < 3.3.0 3.3.0
  19. Denial of service in Apache OpenMeetings
    Wysoka · 7.5 CVE-2020-13951 >= 4.0.0, < 5.1.0 5.1.0
  20. Uncontrolled Resource Consumption in Apache OpenMeetings server
    Wysoka · 7.5 CVE-2021-27576 >= 4.0.0, < 6.0.0 6.0.0

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.