CVE-2026-114661

OpenRemote przed wersją 1.26.2 zawiera podatność na ominięcie uwierzytelniania w API rejestracji konsoli, co pozwala nieuwierzytelnionym atakującym na aktualizację istniejących zasobów konsoli poprzez podanie znanego identyfikatora zasobu.

W platformie OpenRemote przed wersją 1.26.0 API eksportu datapointów konstruuje zapytanie SQL CSV crosstab poprzez konkatenację nazwy assetu i nazwy atrybutu, co pozwala uwierzytelnionemu użytkownikowi na wstrzyknięcie metaznaków SQL. Poprzez żądanie eksportu crosstab możliwe jest zwrócenie wyników wstrzykniętego SELECT w odpowiedzi ZIP/CSV, co umożliwia eksfiltrację danych z bazy. W środowisku wielodostępnym może to ujawnić dane innych najemców.

OpenRemote core (openremote-manager) przed 1.31.0 nie wykonuje autoryzacji realm ani potomnych bramy dla przychodzących zdarzeń bramy brzegowej i mapuje identyfikatory zasobów zdarzeń wyłącznie przez odwracalną transformację GatewayConnector.mapAssetId. Atakujący kontrolujący zarejestrowaną bramę może spreparować identyfikatory pre-image w komunikatach AttributeEvent lub DELETE AssetEvent, aby nadpisać atrybuty lub usunąć zasoby w dowolnym realm, naruszając izolację dzierżawców.

OpenRemote przed 1.31.0 zawiera podatność na obejście autoryzacji, która pozwala administratorom realm podszywać się pod bramy w innych realmach, ponieważ GatewayService sprawdza tylko identyfikator bramy, a nie realm. Atakujący z uprawnieniem WRITE:ADMIN w jednym realm może utworzyć użytkownika usługi o nazwie odpowiadającej identyfikatorowi bramy innego realm, aby nadpisać jej zasoby potomne i otworzyć tunele SSH do jej sieci lokalnej.

OpenRemote to otwartoźródłowa platforma internetu rzeczy. Przed wersją 1.24.2, metody get, getUserClientRoles i getUserRealmRoles autoryzują wywołujących z rolą read:admin bez potwierdzenia, że docelowe UUID należy do żądanego i uwierzytelnionego realm. Administrator realm może pobrać dane użytkownika z innej dzierżawy lub realm master, łamiąc izolację dzierżaw.

OpenRemote to otwartoźródłowa platforma internetu rzeczy. Przed wersją 1.24.2, metoda KNXProtocol.startAssetImport przetwarza plik 0.xml z przesłanego projektu ETS ZIP z parserami XML, które pozwalają na rozwiązywanie encji zewnętrznych, co umożliwia odczyt plików dostępnych dla procesu JVM lub wykonywanie żądań po stronie serwera.

OpenRemote w wersjach przed 1.24.1 pozwala użytkownikom z uprawnieniami tylko read:assets na zapis przewidywanych punktów danych poprzez endpoint zapisu przewidywanych punktów danych. Wersja 1.24.1 naprawia ten problem.

OpenRemote przed wersją 1.28.0 zawiera podatność na ujawnienie informacji między domenami w API REST powiadomień. Administratorzy dzierżawy mogą odczytać wysłane powiadomienia wszystkich dzierżaw, w tym treści wiadomości, wysyłając żądanie GET bez parametrów do punktu końcowego powiadomień.

Punkty końcowe usuwania powiadomień w OpenRemote nie egzekwują granic domen (realm), co pozwala każdemu administratorowi domeny na usuwanie powiadomień należących do innych domen. Atakujący z rolą write:admin w jednej domenie mogą wysyłać żądania DELETE, aby usuwać powiadomienia z domeny głównej lub innych dzierżawców bez kontroli autoryzacji.

OpenRemote (org.openremote:openremote) w wersjach do 1.26.2 zawiera podatność na bezpośrednie odwołanie do niebezpiecznego obiektu (IDOR) w punkcie końcowym setAssetLinks w AlarmResourceImpl. Sprawdzanie dostępu do domeny (realm) waliduje tylko pojedynczą domenę uzyskaną przez realms.stream().findFirst() na HashSet domen z żądania, zamiast wszystkich domen. Ze względu na niedeterministyczną kolejność iteracji HashSet, uwierzytelniony atakujący może z około 50% prawdopodobieństwem na żądanie (z możliwością ponowienia) utrwalić linki między domenami i ujawnić nazwy zasobów ofiary.