CVE-2026-62853
KrytyczneCVSS 9.9Streszczenie
W ThingLinks przed wersją 1.4.0 endpoint /groovyScriptTest/registerScript przyjmuje treść skryptu Groovy od użytkownika i przekazuje ją do niesandboxowanego procesu kompilacji i ładowania. Uwierzytelniony atakujący może dostarczyć kod, który zostanie skompilowany i uruchomiony na serwerze, co prowadzi do zdalnego wykonania kodu po stronie serwera. Problem dotyczy przepływu testowania/rejestracji skryptów Groovy w silniku reguł i został naprawiony w wersji 1.4.0.
Ocena ryzyka
Uwierzytelniony użytkownik może wykonać dowolny kod na serwerze, przejmując kontrolę nad platformą IoT i potencjalnie nad podłączonymi urządzeniami. Może to prowadzić do pełnego naruszenia poufności, integralności i dostępności systemu.
Rekomendacja
Zaktualizuj ThingLinks do wersji 1.4.0 lub nowszej. Ogranicz dostęp do endpointu /groovyScriptTest/registerScript do zaufanych administratorów.
Inne podatności w ThingLinks
Oryginalny opis (angielski, źródło NVD)
ThingLinks is an enterprise IoT platform. Prior to 1.4.0, the `/groovyScriptTest/registerScript` endpoint accepts user-supplied Groovy script content and passes it to an unsandboxed `Groovy compilation and loading` flow. An authenticated attacker can provide code that is compiled and instantiated on the server, resulting in arbitrary server-side code execution. The issue affects the `rule engine`'s Groovy script test/register flow. This issue is fixed in version 1.4.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS