CVE-2026-110110
ŚrednieCVSS 4.3Streszczenie
JetLinks Community (wersje do 2.10.0) zawiera podatność braku autoryzacji, która umożliwia użytkownikom z dostępem tylko do odczytu włączanie lub wyłączanie dowolnej konfiguracji alarmów. Endpointy _enable i _disable w kontrolerze AlarmConfigController nie mają adnotacji save action, więc atakujący mogą przełączać alarmy po ID, aby wyciszyć powiadomienia dla monitorowanych urządzeń.
Ocena ryzyka
Ryzyko obejmuje możliwość wyciszenia alarmów, co może prowadzić do przeoczenia incydentów i opóźnionej reakcji na problemy z urządzeniami.
Rekomendacja
Należy dodać odpowiednie adnotacje autoryzacyjne (np. @SaveAction) do endpointów _enable i _disable oraz ograniczyć możliwość zmiany konfiguracji alarmów dla użytkowników bez odpowiednich uprawnień.
Inne podatności w JetLinks Community
Zobacz wszystkie- CVE-2026-110109Średnie
JetLinks Community (wersje do 2.10.0) zawiera podatność braku autoryzacji, która umożliwia użytkownikom z tylko dostępem do odczytu do transparent-codec nadpisywanie kodeków produktów przez POST /device/transparent-codec/{productId}. Ponieważ endpoint nie ma adnotacji @SaveAction, atakujący mogą zapisać dowolnych dostawców kodeków i konfiguracje, kontrolując sposób dekodowania i kodowania wiadomości przesyłanych dla wszystkich urządzeń danego produktu.
- CVE-2026-75340Krytyczne
Interfejs importu metadanych urządzenia /device/instance/{productId}/property-metadata/import w jetlinks community 2.11 jest podatny na podrabianie żądań po stronie serwera (SSRF).
Oryginalny opis (angielski, źródło NVD)
JetLinks Community through 2.10.0 contains a missing authorization vulnerability that allows users with only query access to enable or disable any alarm configuration. Because the AlarmConfigController _enable and _disable endpoints lack the save action annotation, attackers can toggle alarms by id to silence alerts for monitored devices.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS