CVE-2026-9568
ŚrednieCVSS 5.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
W ThingsBoard do wersji 4.3.1.1 wykryto podatność w funkcji getGatewayDockerComposeFile w pliku /api/v1/provision (komponent YAML Handler), umożliwiającą wstrzyknięcie kodu. Atak zdalny jest możliwy, ale trudny do przeprowadzenia.
Ocena ryzyka
Organizacja narażona jest na zdalne wykonanie kodu przez atakującego, choć wymaga to wysokiej złożoności ataku.
Rekomendacja
Należy monitorować aktualizacje ThingsBoard i zastosować łatkę, gdy tylko będzie dostępna; tymczasowo ograniczyć dostęp do API.
Inne podatności w ThingsBoard
Zobacz wszystkie- CVE-2026-36537Krytyczne
Wersja ThingsBoard v4.3.0.1 jest podatna na obejście uwierzytelniania podczas wymiany kodu autoryzacyjnego OAuth. Aplikacja niewłaściwie ufa danym tożsamości dostarczonym przez użytkownika w parametrze użytkownika na końcówce /login/oauth2/code/.
- CVE-2025-34282Krytyczne
Podatność SSRF w funkcji Image Upload Gallery dashboardu ThingsBoard przed wersją 4.2.1 umożliwia atakującemu wgranie złośliwego pliku SVG odwołującego się do zdalnego URL. Przetworzenie pliku przez serwer może prowadzić do niechcianych żądań wychodzących.
- CVE-2026-53676Wysokie
ThingsBoard zawiera podatność na zanieczyszczenie prototypu, która może prowadzić do wykonania dowolnego kodu w kontekście piaskownicy przez użytkownika posiadającego uprawnienia administratora najemcy (TENANT_ADMIN).
- CVE-2022-45608Wysokie
W ThingsBoard 3.4.1 odkryto podatność, która umożliwia niskouprzywilejowanym atakującym (CUSTOMER_USER) eskalację uprawnień do poziomu administratora (TENANT_ADMIN lub SYS_ADMIN). Atak wymaga znajomości odpowiedniego parametru API (authority: value).
Oryginalny opis (angielski, źródło NVD)
A weakness has been identified in ThingsBoard up to 4.3.1.1. Affected by this vulnerability is the function getGatewayDockerComposeFile of the file /api/v1/provision of the component YAML Handler. This manipulation causes code injection. It is possible to initiate the attack remotely. The attack's complexity is rated as high. The exploitation appears to be difficult. The project was informed of the problem early through a pull request but has not reacted yet.