FICHE CVE

CVE-2026-33005

Publiée le 2026-04-09 · Dernière modification le 2026-10-26

🇫🇷 EN BREF

Les versions d'Apache OpenMeetings antérieures à la 9.0.0 permettent à tout utilisateur enregistré d'accéder aux métadonnées de fichiers et de sous-dossiers pour lesquels il ne devrait pas avoir d'autorisation. Un attaquant disposant d'un compte standard peut utiliser le service web pour récupérer des informations telles que les noms et les identifiants de fichiers, bien qu'il ne puisse pas télécharger le contenu réel des fichiers. Cela nécessite un accès réseau et un compte utilisateur valide, mais aucune interaction d'un tiers n'est requise pour effectuer la requête.

CVSS 3.14.3 MOYENNE

Type de faiblesse

CWE-274

Publiée2026-04-09

Dernière modification2026-10-26

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisFaibles

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéFaible

Impact sur l'intégritéAucun

Impact sur la disponibilitéAucun

RÉFÉRENCES

Description officielle du NVD (en anglais)

Improper Handling of Insufficient Privileges vulnerability in Apache OpenMeetings. Any registered user can query web service with their credentials and get files/sub-folders of any folder by ID (metadata only NOT contents). Metadata includes id, type, name and some other field. Full list of fields get be checked at FileItemDTO object. This issue affects Apache OpenMeetings: from 3.10 before 9.0.0. Users are recommended to upgrade to version 9.0.0, which fixes the issue.