OutSystems LifeTime IDOR漏洞公告 (CVE-2026-40127)

漏洞概述 漏洞名称: Vulnerability RPM-6441 安全公告ID: RPM-6441 首次发布: 2026年5月30日 公开披露: 2026年5月30日 状态: 公开披露 解决方法: 无 OutSystems Bug ID: RPM-6441 CVSS评分: 中等 4.3 CVE ID: CVE-2026-40127 影响范围 受影响产品: 所有版本的OutSystems 11 LifeTime，直到11.28.2版本。 漏洞详情: 应用程序的更改日志端点 缺乏细粒度授权，导致不安全的直接对象引用（IDOR）漏洞。虽然系统验证了身份验证，但未验证用户是否具有查看请求的更改日志所需的特定权限；因此，任何有效账户都可以通过操纵 参数来访问更改日志。此外，使用顺序、可预测的标识符作为 参数，使得通过自动化参数迭代在环境中系统性地检索所有应用程序的更改日志成为可能。 修复方案 解决方法: 建议客户将LifeTime更新到最新版本： - OutSystems 11 Cloud: OutSystems正在作为Windows Server 2022升级的一部分，在O11 Cloud中升级所有基础设施，这将升级所有LifeTime实例到解决此漏洞的版本。无需采取任何行动。 - OutSystems 11 self-managed: 将LifeTime更新到最新版本。 已修复的产品和版本: OutSystems发布了11.28.2的LifeTime，解决了此漏洞。所有后续版本都将受到保护。如果您拥有自管理的基础设施，我们强烈建议升级到最新版本。 常见问题解答 通过利用此漏洞，攻击者可以访问我的数据吗？ - 是的，但仅限于非常有限的范围。只有应用程序的更改日志数据在系统中对经过身份验证的用户可读。 此漏洞是否在野外被利用？ - OutSystems没有证据表明此漏洞在野外被利用，也没有任何客户受到影响。 我需要做什么？ - 更新您的OutSystems Platform到上述提到的版本。对于OutSystems Cloud，升级正在进行中。 OutSystems是否会分享更多关于此漏洞的信息？ - 为了保护其客户，OutSystems不会提供关于此漏洞的更多信息。 我可以与谁讨论此问题？ - 如果您有任何问题，请联系您的客户成功经理。如果您没有，请通过我们的支持渠道联系我们。

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

OutSystems LifeTime IDOR漏洞公告 (CVE-2026-40127)

目标达成感谢每一位支持者 — 我们达成了 100% 目标！