O2OA до 10.0.2-ce: обход авторизации при скачивании вложений (CVE-2026-111620)
В O2OA вплоть до версии 10.0.2-ce обнаружена уязвимость обхода авторизации в модуле x_processplatform_assemble_surface. Аутентифицированный пользователь, зная UUID вложения, может скачать файлы, прикреплённые к чужим процессам. Уровень опасности — средний (CVSS 6).
Подробности
Уязвимость присутствует в O2OA вплоть до версии 10.0.2-ce включительно. Причина — отсутствие проверки принадлежности вложения к конкретной работе или черновику в обработчиках ActionDownloadWithWork и ActionDownloadWithWorkStream. Эти методы не верифицируют, что запрошенный идентификатор вложения (attachment id) действительно относится к указанной работе или черновику, поэтому в запрос можно подставить любой доступный для просмотра work или собственный draft. На практике атакующему достаточно знать UUID вложения, чтобы обратиться к эндпоинту вида jaxrs/attachment/download/{id}/work/{workId} и прочитать документы, прикреплённые к процессам других пользователей. Таким образом, при наличии валидной учётной записи и известного идентификатора вложения злоумышленник может получить конфиденциальные файлы, не имея на них прав. Уязвимости присвоен базовый балл CVSS 6, что соответствует среднему уровню опасности. Для эксплуатации требуется аутентификация, однако специальных привилегий не нужно, а сложность атаки невысока при условии, что идентификатор вложения известен или предсказуем.Что делать
Основная рекомендация — обновить O2OA до версии, в которой устранена уязвимость. Если на момент публикации исправленная сборка недоступна, следует рассмотреть временные компенсационные меры: - ограничить сетевой доступ к эндпоинтам jaxrs/attachment/download/{id}/work/{workId} на уровне WAF или reverse-proxy, разрешив его только доверенным сегментам; - ужесточить контроль доступа к платформе, сократив число учётных записей с возможностью аутентификации и регулярно пересматривая права; - включить детальное журналирование обращений к эндпоинтам скачивания вложений и настроить оповещения о подозрительной активности (перебор идентификаторов, обращения к чужим workId); - по возможности ограничить распространение идентификаторов вложений (UUID) во внешних интерфейсах, экспортах и уведомлениях. После выхода патча рекомендуется провести проверку журналов за предшествующий период на предмет попыток несанкционированного скачивания вложений.Итог
CVE-2026-111620 — это уязвимость обхода авторизации в O2OA до 10.0.2-ce, позволяющая аутентифицированному пользователю читать чужие вложения при знании их UUID. Уровень опасности средний (CVSS 6), но с учётом характера затрагиваемых данных (документы бизнес-процессов) риск утечки конфиденциальной информации остаётся значимым. Ключевая мера защиты — оперативное обновление платформы и контроль доступа к эндпоинтам скачивания вложений.Источник: CVE Project (cvelistV5)