CVE-2026-120274
ŚrednieCVSS 4.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Wykryto podatność w beecue FastBee do wersji 2.1.0. Nieznana funkcjonalność pliku /iot/script w komponencie Groovy Script Executor pozwala na wstrzyknięcie kodu. Atak można przeprowadzić zdalnie, a poprawka jest dostępna pod identyfikatorem 890a33846005a937a58cccd738b7fb9821b82ea9.
Ocena ryzyka
Zdalne wstrzyknięcie kodu może pozwolić atakującemu na wykonanie dowolnych poleceń w kontekście aplikacji, co grozi przejęciem systemu i utratą danych.
Rekomendacja
Należy niezwłocznie zainstalować poprawkę oznaczoną identyfikatorem 890a33846005a937a58cccd738b7fb9821b82ea9 lub zaktualizować FastBee do wersji zawierającej tę poprawkę.
Inne podatności w FastBee
Zobacz wszystkie- CVE-2026-111654Średnie
FastBee do wersji 2.1.0 zawiera podatność typu insecure direct object reference (IDOR), która pozwala uwierzytelnionym użytkownikom o niskich uprawnieniach na dostęp do grup urządzeń innych użytkowników, ponieważ zapytania GroupController nie zawierają kontroli właściciela. Atakujący, w tym samodzielnie zarejestrowani użytkownicy, mogą podawać sekwencyjne identyfikatory grup, aby odczytywać, nadpisywać, przypisywać ponownie, przepisywać powiązania urządzeń lub usuwać grupy innych użytkowników.
- CVE-2026-110124Wysokie
FastBee do wersji 2.1.0 zawiera podatność niebezpiecznego bezpośredniego odwołania do obiektu w DeviceController, która pozwala uwierzytelnionym użytkownikom o niskich uprawnieniach na odczyt i modyfikację urządzeń innych dzierżawców poprzez podanie sekwencyjnych identyfikatorów urządzeń.
- CVE-2026-7677Niskie
W kerwincui FastBee do wersji 1.2.1 wykryto podatność w funkcji Add w pliku SysNoticeController.java komponentu System Notice Handler. Manipulacja argumentem noticeContent prowadzi do cross-site scripting (XSS). Atak można zainicjować zdalnie, a exploit został publicznie ujawniony i może być wykorzystany; producent nie odpowiedział na zgłoszenie.
- CVE-2026-7676Średnie
W kerwincui FastBee do wersji 1.2.1 funkcja ToolController.download w pliku ToolController.java komponentu Tool Download Endpoint, przy manipulacji argumentem fileName, prowadzi do path traversal. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony. Producent nie odpowiedział na zgłoszenie.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was identified in beecue FastBee up to 2.1.0. Affected by this issue is some unknown functionality of the file /iot/script of the component Groovy Script Executor. The manipulation leads to code injection. The attack is possible to be carried out remotely. The identifier of the patch is 890a33846005a937a58cccd738b7fb9821b82ea9. It is suggested to install a patch to address this issue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS