CVE-2026-110109
ŚrednieCVSS 6.5Streszczenie
JetLinks Community (wersje do 2.10.0) zawiera podatność braku autoryzacji, która umożliwia użytkownikom z tylko dostępem do odczytu do transparent-codec nadpisywanie kodeków produktów przez POST /device/transparent-codec/{productId}. Ponieważ endpoint nie ma adnotacji @SaveAction, atakujący mogą zapisać dowolnych dostawców kodeków i konfiguracje, kontrolując sposób dekodowania i kodowania wiadomości przesyłanych dla wszystkich urządzeń danego produktu.
Ocena ryzyka
Ryzyko obejmuje przejęcie kontroli nad formatowaniem danych w urządzeniach, co może umożliwić manipulację danymi pomiarowymi lub naruszenie integralności komunikacji.
Rekomendacja
Należy dodać adnotację @SaveAction do endpointu transparent-codec oraz upewnić się, że tylko uprawnieni użytkownicy mogą modyfikować konfigurację kodeków.
Inne podatności w JetLinks Community
Zobacz wszystkie- CVE-2026-110110Średnie
JetLinks Community (wersje do 2.10.0) zawiera podatność braku autoryzacji, która umożliwia użytkownikom z dostępem tylko do odczytu włączanie lub wyłączanie dowolnej konfiguracji alarmów. Endpointy _enable i _disable w kontrolerze AlarmConfigController nie mają adnotacji save action, więc atakujący mogą przełączać alarmy po ID, aby wyciszyć powiadomienia dla monitorowanych urządzeń.
- CVE-2026-75340Krytyczne
Interfejs importu metadanych urządzenia /device/instance/{productId}/property-metadata/import w jetlinks community 2.11 jest podatny na podrabianie żądań po stronie serwera (SSRF).
Oryginalny opis (angielski, źródło NVD)
JetLinks Community through 2.10.0 contains a missing authorization vulnerability that allows users with only query access on transparent-codec to overwrite product codecs via POST /device/transparent-codec/{productId}. Because the endpoint lacks @SaveAction, attackers can save arbitrary codec providers and configurations, controlling how transparent messages are decoded and encoded for every device of that product.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS