CVE-2026-49439
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
OpenRemote w wersjach przed 1.24.1 pozwala użytkownikom z uprawnieniami tylko read:assets na zapis przewidywanych punktów danych poprzez endpoint zapisu przewidywanych punktów danych. Wersja 1.24.1 naprawia ten problem.
Ocena ryzyka
Użytkownicy z niskimi uprawnieniami mogą modyfikować dane, do których nie powinni mieć dostępu. Może to prowadzić do nieautoryzowanych zmian w systemie IoT.
Rekomendacja
Zaktualizuj OpenRemote do wersji 1.24.1 lub nowszej. Zweryfikuj uprawnienia użytkowników.
Inne podatności w OpenRemote
Zobacz wszystkie- CVE-2026-73616Średnie
Punkty końcowe usuwania powiadomień w OpenRemote nie egzekwują granic domen (realm), co pozwala każdemu administratorowi domeny na usuwanie powiadomień należących do innych domen. Atakujący z rolą write:admin w jednej domenie mogą wysyłać żądania DELETE, aby usuwać powiadomienia z domeny głównej lub innych dzierżawców bez kontroli autoryzacji.
- CVE-2026-66013Krytyczne
OpenRemote przed wersją 1.26.2 zawiera podatność na ominięcie uwierzytelniania w API rejestracji konsoli, co pozwala nieuwierzytelnionym atakującym na aktualizację istniejących zasobów konsoli poprzez podanie znanego identyfikatora zasobu.
- CVE-2026-81679Wysokie
OpenRemote przed wersją 1.28.0 zawiera podatność na ujawnienie informacji między domenami w API REST powiadomień. Administratorzy dzierżawy mogą odczytać wysłane powiadomienia wszystkich dzierżaw, w tym treści wiadomości, wysyłając żądanie GET bez parametrów do punktu końcowego powiadomień.
- CVE-2026-67310Średnie
OpenRemote (org.openremote:openremote) w wersjach do 1.26.2 zawiera podatność na bezpośrednie odwołanie do niebezpiecznego obiektu (IDOR) w punkcie końcowym setAssetLinks w AlarmResourceImpl. Sprawdzanie dostępu do domeny (realm) waliduje tylko pojedynczą domenę uzyskaną przez realms.stream().findFirst() na HashSet domen z żądania, zamiast wszystkich domen. Ze względu na niedeterministyczną kolejność iteracji HashSet, uwierzytelniony atakujący może z około 50% prawdopodobieństwem na żądanie (z możliwością ponowienia) utrwalić linki między domenami i ujawnić nazwy zasobów ofiary.
- CVE-2026-65009Średnie
Podatność w OpenRemote przed wersją 1.26.2. Endpoint REST SyslogResource (`GET /api/{realm}/syslog/event`) nie filtruje logów operacyjnych według realm, co pozwala atakującym z rolą `read:rules` na odczyt logów ze wszystkich tenantów, w tym ID assetów, szczegółów połączeń agentów, nazw reguł i błędów protokołów.
- CVE-2026-62238Wysokie
OpenRemote przed wersją 1.26.0 zawiera uwierzytelnioną podatność na wstrzykiwanie SQL w punkcie końcowym eksportu tabeli przestawnej datapoint. Podatność ta wynika z konkatenacji nazw wyświetlanych zasobów bezpośrednio w zapytaniach PostgreSQL, co umożliwia atakującemu z uprawnieniami do tworzenia lub zmiany nazw zasobów wstrzyknięcie złośliwego kodu SQL.
- CVE-2026-56784Wysokie
Podatność IDOR w OpenRemote przed wersją 1.25.0 umożliwia uwierzytelnionym użytkownikom trwałe usuwanie alarmów należących do innych dzierżawców poprzez podanie dowolnych identyfikatorów alarmów. Metoda removeAlarms() w AlarmResourceImpl.java pomija walidację zakresu dzierżawy w zapytaniu JPA.
Oryginalny opis (angielski, źródło NVD)
OpenRemote is an open-source internet-of-things platform. Prior to version 1.24.1, the predicted datapoint write endpoint allows users with only `read:assets` privileges to write predicted datapoints. Version 1.24.1 fixes the issue.