CVE-2026-62849

KrytyczneCVSS 9.1

Opublikowano: 30/10/2026(UTC)Przetłumaczono: 30/10/2026(UTC)NVD NIST

Streszczenie

W ThingLinks przed wersją 1.4.0 występuje nieuwierzytelniona podatność SQL injection w API TDengine TDS. Wartości pól JSON przesyłane do /anyUser/tds/insertTableData trafiają do niebezpiecznego konstruowania zapytań SQL w mapperze TDS, co pozwala zdalnemu nieuwierzytelnionemu atakującemu modyfikować dane szeregów czasowych TDengine, w tym wstawiać niepożądane wiersze lub nadpisywać istniejące odczyty. Problem naprawiono w wersji 1.4.0.

Ocena ryzyka

Nieuwierzytelniony atakujący może manipulować danymi pomiarowymi w TDengine, co może prowadzić do fałszywych odczytów, zakłócenia analiz i błędnych decyzji operacyjnych. Może to podważyć integralność danych telemetrycznych platformy IoT.

Rekomendacja

Zaktualizuj ThingLinks do wersji 1.4.0 lub nowszej. Do czasu aktualizacji ogranicz dostęp sieciowy do endpointu /anyUser/tds/insertTableData.

Inne podatności w ThingLinks

CVE-2026-62853Krytyczne
W ThingLinks przed wersją 1.4.0 endpoint /groovyScriptTest/registerScript przyjmuje treść skryptu Groovy od użytkownika i przekazuje ją do niesandboxowanego procesu kompilacji i ładowania. Uwierzytelniony atakujący może dostarczyć kod, który zostanie skompilowany i uruchomiony na serwerze, co prowadzi do zdalnego wykonania kodu po stronie serwera. Problem dotyczy przepływu testowania/rejestracji skryptów Groovy w silniku reguł i został naprawiony w wersji 1.4.0.

Oryginalny opis (angielski, źródło NVD)

ThingLinks is an enterprise IoT platform. Prior to 1.4.0, an unauthenticated SQL injection vulnerability in the `TDengine TDS APIs` allows request-controlled JSON field values submitted to `/anyUser/tds/insertTableData` to reach unsafe SQL construction in the `TDS mapper`. A remote unauthenticated attacker can tamper with TDengine time-series data, including inserting unintended rows or overwriting existing readings. The affected surface is the TDS module's insert-table-data flow and TDengine mapper SQL generation. This issue is fixed in version 1.4.0.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS