OpenStation présente un contournement d’autorisation permettant à des utilisateurs authentifiés ayant au moins le rôle Abonné de modifier des entrées de placement d’autres utilisateurs et d’en lire certaines métadonnées. Toutes les versions jusqu’à 1.1.16 inclus sont concernées; l’exploitation dépend de la présence d’une entrée de placement orpheline.
Source : NVD — CVE-2026-109592
Analyse technique
Un utilisateur disposant de la capacité `read` peut activer OpenStation via AJAX. La faille permet ensuite de modifier des placements orphelins et de lire leurs métadonnées sérialisées, si de tels placements existent.
Impact, versions et correctif
Action recommandée
Mettre à jour vers une version corrigée dès sa disponibilité et limiter l’utilisation du plugin aux rôles nécessaires.
Sources
Priorisation DFS : P4 · 1 source(s).