Anmelden
Deutsch English Español Polski
Mittel

Apache OpenMeetings has an Improper Handling of Insufficient Privileges vulnerability

  • Veröffentlicht: 09.04.2026
  • Aktualisiert: 11.10.2026 12:22

Sny registered user can query web service with their credentials and get files/sub-folders of any folder by ID (metadata only NOT contents). Metadata includes id, type, name and some other field. Full list of fields get be checked at FileItemDTO object.

This issue affects Apache OpenMeetings: from 3.10 before 9.0.0.

Users are recommended to upgrade to version 9.0.0, which fixes the issue.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

PlattformPaketAnfällige VersionenBehoben in
Java / Kotlin (Maven) org.apache.openmeetings:openmeetings-parent >= 3.10, < 9.0.0 9.0.0

Verweise

CVSS-Wert 4.3/10
CVSS-Vektor
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N
Schwäche (CWE)
CWE-274
Plattform
Java / Kotlin (Maven)
Paket
org.apache.openmeetings:openmeetings-parent
Veröffentlicht
09.04.2026
Aktualisiert
11.10.2026 12:22

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-78cg-fc6c-w44w - CC BY 4.0

Schwachstellenhistorie: org.apache.openmeetings:openmeetings-parent

Alle veröffentlichten Schwachstellen dieses Pakets (Java / Kotlin (Maven)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (25) im Archiv
Einträge insgesamt
25
Erste → letzte
06.2021 04.2026
Ohne Fix
0
In Angriffen ausgenutzt
0

Verteilung nach Schweregrad

  • Kritisch 5
  • Hoch 14
  • Mittel 6

Veröffentlichungen pro Jahr

Schweregrad:
  1. Apache OpenMeetings Uses GET Request Method With Sensitive Query Strings
    Hoch · 7.5 CVE-2026-34020 >= 3.1.3, < 9.0.0 9.0.0
  2. Apache OpenMeetings has an Improper Handling of Insufficient Privileges vulnerability dieser Eintrag
    Mittel · 4.3 CVE-2026-33005 >= 3.10, < 9.0.0 9.0.0
  3. Apache OpenMeetings Uses Hard-coded Cryptographic Key
    Hoch · 7.5 CVE-2026-33266 >= 6.1.0, < 9.0.0 9.0.0
  4. Apache OpenMeetings vulnerable to Deserialization of Untrusted Data
    Kritisch CVE-2024-54676 >= 2.1.0, < 8.0.0 8.0.0
  5. Apache OpenMeetings Improper Authentication vulnerability
    Hoch · 8.1 CVE-2023-29032 >= 3.1.3, < 7.1.0 7.1.0
  6. Apache OpenMeetings vulnerable to remote code execution via null-bye injection
    Hoch · 7.2 CVE-2023-29246 >= 2.0.0, < 7.1.0 7.1.0
  7. Apache OpenMeetings missing authentication and can allow user impersonation
    Kritisch · 9.8 CVE-2023-28326 >= 2.0.0, < 7.0.0 7.0.0
  8. Apache OpenMeetings displays Tomcat version and detailed error stack trace
    Hoch · 7.5 CVE-2017-7683 >= 1.0.0, < 3.3.0 3.3.0
  9. Apache OpenMeetings vulnerable to SQL injection
    Hoch · 8.8 CVE-2017-7681 >= 1.0.0, < 3.3.0 3.3.0
  10. Apache OpenMeetings vulnerable to Cross-Site Request Forgery
    Hoch · 8.8 CVE-2017-7666 >= 1.0.0, < 3.3.0 3.3.0
  11. Apache OpenMeetings does not correctly validate uploaded XML documents
    Kritisch · 10.0 CVE-2017-7664 >= 3.1.0, < 3.3.0 3.3.0
  12. Apache OpenMeetings allows remote attackers to read arbitrary files by attempting to upload a file
    Hoch · 7.5 CVE-2016-2164 < 3.1.1 3.1.1
  13. Apache OpenMeetings RCE
    Kritisch · 9.8 CVE-2016-8736 < 3.1.2 3.1.2
  14. Apache OpenMeetings vulnerable to Uncontrolled Resource Consumption
    Hoch · 7.5 CVE-2017-7684 >= 1.0.0, < 3.3.0 3.3.0
  15. Apache OpenMeetings updates user password in insecure manner
    Hoch · 7.5 CVE-2017-7688 >= 1.0.0, < 3.3.0 3.3.0
  16. Apache OpenMeetings allows flash content to be loaded from untrusted domains
    Hoch · 7.5 CVE-2017-7680 >= 1.0.0, < 3.3.0 3.3.0
  17. Apache OpenMeetings vulnerable to parameter manipulation attacks
    Hoch · 8.2 CVE-2017-7682 >= 3.2.0, < 3.3.0 3.3.0
  18. Apache OpenMeetings has Inadequate Encryption Strength
    Kritisch · 9.8 CVE-2017-7673 >= 1.0.0, < 3.3.0 3.3.0
  19. Denial of service in Apache OpenMeetings
    Hoch · 7.5 CVE-2020-13951 >= 4.0.0, < 5.1.0 5.1.0
  20. Uncontrolled Resource Consumption in Apache OpenMeetings server
    Hoch · 7.5 CVE-2021-27576 >= 4.0.0, < 6.0.0 6.0.0

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden
DockRay Newsletter

Anwendungssicherheit in Ihrem Postfach

Wichtige Schwachstellen, konkrete Empfehlungen und praktische Tipps für Ihre Anwendungen. Wählen Sie Ihre Technologien und verfolgen Sie, was für Ihr Projekt relevant ist.

  • Eine tägliche Zusammenfassung neuer Schwachstellen, auch kritischer.
  • Benachrichtigungen über wichtige Updates.
  • Praktische Tipps zur Sicherheit und Überwachung von Anwendungen.

Leer lassen, um Meldungen zu allen Technologien zu erhalten.

Datenschutzerklärung

Kostenlos anmelden. In jeder E-Mail mit einem Klick abmelden.