CVE-2026-54641

OpenRemote to otwartoźródłowa platforma internetu rzeczy. Przed wersją 1.24.2, metoda KNXProtocol.startAssetImport przetwarza plik 0.xml z przesłanego projektu ETS ZIP z parserami XML, które pozwalają na rozwiązywanie encji zewnętrznych, co umożliwia odczyt plików dostępnych dla procesu JVM lub wykonywanie żądań po stronie serwera.

OpenRemote przed wersją 1.26.2 zawiera podatność na ominięcie uwierzytelniania w API rejestracji konsoli, co pozwala nieuwierzytelnionym atakującym na aktualizację istniejących zasobów konsoli poprzez podanie znanego identyfikatora zasobu.

OpenRemote w wersjach przed 1.24.1 pozwala użytkownikom z uprawnieniami tylko read:assets na zapis przewidywanych punktów danych poprzez endpoint zapisu przewidywanych punktów danych. Wersja 1.24.1 naprawia ten problem.

OpenRemote przed wersją 1.28.0 zawiera podatność na ujawnienie informacji między domenami w API REST powiadomień. Administratorzy dzierżawy mogą odczytać wysłane powiadomienia wszystkich dzierżaw, w tym treści wiadomości, wysyłając żądanie GET bez parametrów do punktu końcowego powiadomień.

Punkty końcowe usuwania powiadomień w OpenRemote nie egzekwują granic domen (realm), co pozwala każdemu administratorowi domeny na usuwanie powiadomień należących do innych domen. Atakujący z rolą write:admin w jednej domenie mogą wysyłać żądania DELETE, aby usuwać powiadomienia z domeny głównej lub innych dzierżawców bez kontroli autoryzacji.

OpenRemote (org.openremote:openremote) w wersjach do 1.26.2 zawiera podatność na bezpośrednie odwołanie do niebezpiecznego obiektu (IDOR) w punkcie końcowym setAssetLinks w AlarmResourceImpl. Sprawdzanie dostępu do domeny (realm) waliduje tylko pojedynczą domenę uzyskaną przez realms.stream().findFirst() na HashSet domen z żądania, zamiast wszystkich domen. Ze względu na niedeterministyczną kolejność iteracji HashSet, uwierzytelniony atakujący może z około 50% prawdopodobieństwem na żądanie (z możliwością ponowienia) utrwalić linki między domenami i ujawnić nazwy zasobów ofiary.

Podatność w OpenRemote przed wersją 1.26.2. Endpoint REST SyslogResource (`GET /api/{realm}/syslog/event`) nie filtruje logów operacyjnych według realm, co pozwala atakującym z rolą `read:rules` na odczyt logów ze wszystkich tenantów, w tym ID assetów, szczegółów połączeń agentów, nazw reguł i błędów protokołów.

OpenRemote przed wersją 1.26.0 zawiera uwierzytelnioną podatność na wstrzykiwanie SQL w punkcie końcowym eksportu tabeli przestawnej datapoint. Podatność ta wynika z konkatenacji nazw wyświetlanych zasobów bezpośrednio w zapytaniach PostgreSQL, co umożliwia atakującemu z uprawnieniami do tworzenia lub zmiany nazw zasobów wstrzyknięcie złośliwego kodu SQL.

Podatność IDOR w OpenRemote przed wersją 1.25.0 umożliwia uwierzytelnionym użytkownikom trwałe usuwanie alarmów należących do innych dzierżawców poprzez podanie dowolnych identyfikatorów alarmów. Metoda removeAlarms() w AlarmResourceImpl.java pomija walidację zakresu dzierżawy w zapytaniu JPA.