CVE-2026-66091
CVE-2026-66091 · Unauthenticated IDOR Enables Disclosure of Other Users’ last-known details
Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.
In openEQUELLA before 2026.1, the GET /api/userquery/userinfobackup endpoint performs no authentication or authorisation check. An unauthenticated attacker who supplies another user's uniqueId can retrieve that user's stored personal details (username, first name, last name and email address) within the same institution.
CVSS 6.9 · Moyenne · EPSS 0,4% · Correctif disponible
- Publication
- Mise à jour
Produits et versions concernés
openequella
- Versions du logiciel
- ≥ 2019.2, < 2026.1: Concernée (custom)
Mettez à jour vers 2026.1