CVE-2026-111629

ŚrednieCVSS 4.3

Opublikowano: 16/10/2026(UTC)Zaktualizowano: 21/10/2026(UTC)Przetłumaczono: 17/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.25%

Percentyl 16 - wyżej niż 16% wszystkich znanych CVE

Streszczenie

IoTSharp do wersji 3.6.1 zawiera podatność typu niezabezpieczone bezpośrednie odwołanie do obiektu (IDOR), która pozwala każdemu uwierzytelnionemu użytkownikowi na odczyt danych innych dzierżawców, ponieważ handlery API Customers i Devices nie ograniczają zapytań do dzierżawcy wywołującego. Atakujący może samodzielnie zarejestrować się przez anonimowy endpoint AccountController.Create i podać identyfikatory GUID innych dzierżawców, aby odczytać dane kontaktowe klientów, inwentarze urządzeń oraz telemetrię atrybutów urządzeń.

Ocena ryzyka

Naruszenie poufności danych między dzierżawcami — wyciek danych kontaktowych klientów, inwentarzy urządzeń i telemetrii. W środowisku multi-tenant może to prowadzić do wycieku danych osobowych i naruszenia RODO.

Rekomendacja

Zaktualizować IoTSharp do wersji nowszej niż 3.6.1, gdy będzie dostępna, oraz wdrożyć kontrolę zakresu zapytań do dzierżawcy wywołującego w handlerach API Customers i Devices. Do czasu wydania poprawki rozważyć ograniczenie dostępu do API lub wyłączenie anonimowej rejestracji.

Inne podatności w IoTSharp

CVE-2026-71262Krytyczne
W IoTSharp, kontroler BlobStorageController.cs nie ma atrybutu [Authorize], który jest zastosowany w innych kontrolerach, a w Startup.cs nie skonfigurowano globalnej polityki autoryzacji. W rezultacie punkty końcowe Upload/Download/List/Modify/Delete są dostępne dla nieuwierzytelnionych zdalnych atakujących.

Oryginalny opis (angielski, źródło NVD)

IoTSharp through 3.6.1 contains an insecure direct object reference vulnerability that allows any authenticated user to read other tenants' data because Customers and Devices API handlers do not scope queries to the caller's tenant. Attackers can self-register through the anonymous AccountController.Create endpoint and supply other tenants' GUIDs to read customer contact details, device inventories and device attribute telemetry.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS