CVE-2022-45608
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 54 - wyżej niż 54% wszystkich znanych CVE
Streszczenie
W ThingsBoard 3.4.1 odkryto podatność, która umożliwia niskouprzywilejowanym atakującym (CUSTOMER_USER) eskalację uprawnień do poziomu administratora (TENANT_ADMIN lub SYS_ADMIN). Atak wymaga znajomości odpowiedniego parametru API (authority: value).
Ocena ryzyka
Ryzyko polega na możliwości przejęcia pełnej kontroli nad aplikacją przez nieautoryzowanego użytkownika, co może prowadzić do naruszenia poufności, integralności i dostępności danych oraz systemu.
Rekomendacja
Zaleca się natychmiastową aktualizację ThingsBoard do wersji, w której usunięto tę podatność, oraz wdrożenie mechanizmów kontroli dostępu i monitorowania API.
Inne podatności w ThingsBoard
Zobacz wszystkie- CVE-2026-36537Krytyczne
Wersja ThingsBoard v4.3.0.1 jest podatna na obejście uwierzytelniania podczas wymiany kodu autoryzacyjnego OAuth. Aplikacja niewłaściwie ufa danym tożsamości dostarczonym przez użytkownika w parametrze użytkownika na końcówce /login/oauth2/code/.
- CVE-2025-34282Krytyczne
Podatność SSRF w funkcji Image Upload Gallery dashboardu ThingsBoard przed wersją 4.2.1 umożliwia atakującemu wgranie złośliwego pliku SVG odwołującego się do zdalnego URL. Przetworzenie pliku przez serwer może prowadzić do niechcianych żądań wychodzących.
- CVE-2026-53676Wysokie
ThingsBoard zawiera podatność na zanieczyszczenie prototypu, która może prowadzić do wykonania dowolnego kodu w kontekście piaskownicy przez użytkownika posiadającego uprawnienia administratora najemcy (TENANT_ADMIN).
- CVE-2026-9568Średnie
W ThingsBoard do wersji 4.3.1.1 wykryto podatność w funkcji getGatewayDockerComposeFile w pliku /api/v1/provision (komponent YAML Handler), umożliwiającą wstrzyknięcie kodu. Atak zdalny jest możliwy, ale trudny do przeprowadzenia.
Oryginalny opis (angielski, źródło NVD)
An issue was discovered in ThingsBoard 3.4.1, allows low privileged attackers (CUSTOMER_USER) to gain escalated privileges (vertically) and become an Administrator (TENANT_ADMIN) or (SYS_ADMIN) on the web application. It is important to note that in order to accomplish this, the attacker must know the corresponding API's parameter (authority : value).