OpsTree Solutions REMS
OpsTree REMS: accesso come SuperUser senza password valida
Il problema, secondo i dati ufficiali
- In OpsTree REMS c'è un bypass dell'autenticazione: il campo is_local_auth, controllato dal client, permette di ottenere token JWT validi anche con una password errata.
- Un attaccante non autenticato può inviare una richiesta POST a /api/v1/user/login/ per l'account admin con una password non valida e is_local_auth impostato a true, ottenendo accesso amministrativo come SuperUser.
- Si sfrutta via rete, quindi anche da internet se il servizio è esposto, senza bisogno di un account.
Cosa fare
- I dati ufficiali della CVE non indicano una versione corretta: segui l'avviso del produttore.
- Se non puoi aggiornare subito, applica le misure temporanee indicate nell'avviso del produttore (a volte chiede di spegnere il servizio); se non ne indica e il servizio è raggiungibile da internet, limita chi può raggiungerlo (VPN o filtro degli indirizzi).
Versioni interessate
- REMS: fino alla 1.0.0 inclusa
Fonti ufficiali
- gist.github.com — riferimento
- opstree.com — riferimento
- www.vulncheck.com — riferimento
Descrizione ufficiale (in inglese)
OpsTree REMS through 1.0.0 contains an authentication bypass vulnerability that allows unauthenticated attackers to obtain valid JWTs by setting the client-controlled is_local_auth field. Attackers can send a POST /api/v1/user/login/ request for the admin account with an invalid password and is_local_auth true to gain SuperUser administrative access.
Non sai se ti riguarda?
Se usi OpsTree Solutions REMS e non sai quale versione hai, o hai un sito o un e-commerce da tenere al sicuro, possiamo controllarlo noi. Intanto puoi fare un primo controllo gratuito.
Il riassunto del problema è scritto da un modello linguistico (Claude di Anthropic) a partire dalla descrizione ufficiale, e controllato in automatico contro di essa. Soluzione e versioni vengono solo dai dati ufficiali (CISA KEV, NVD, CVE.org, FIRST EPSS). Non è più tra le allerte recenti: i dati sono quelli dell'ultimo aggiornamento. Ultimo aggiornamento: 12 novembre 2026. Prima di intervenire verifica l'avviso del produttore.