Veille sécuritéBackend & données
P3Élevée
Avant OpenRemote 1.24.2, plusieurs points d’accès de lecture des utilisateurs ne vérifiaient pas que l’utilisateur demandé appartenait au royaume de l’appelant. Un administrateur de royaume disposant du rôle read:admin pouvait consulter le profil et les rôles d’utilisateurs d’autres royaumes, y compris du royaume master.
Java
IdentifiantCVE-2026-54641
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif1.24.2
Source : NVD — CVE-2026-54641
Analyse technique
Les méthodes get, getUserClientRoles et getUserRealmRoles de UserResourceImpl autorisent la lecture sans vérifier l’appartenance de l’identifiant UUID au royaume demandé et authentifié.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-13, dans la période demandée; il s’agit d’une vulnérabilité nouvellement publiée.
ImpactDivulgation inter-royaumes de profils utilisateur et d’informations sur les rôles.
Versions affectéesOpenRemote < 1.24.2
Version corrigée1.24.2
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.7
Publication2026-10-13T17:17:41.633Z
Mise à jour2026-10-13T18:17:24.247Z
Action recommandée
Mettre à niveau OpenRemote vers la version 1.24.2 ou ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).