CVE-2026-116184

OpenRemote przed wersją 1.26.2 zawiera podatność na ominięcie uwierzytelniania w API rejestracji konsoli, co pozwala nieuwierzytelnionym atakującym na aktualizację istniejących zasobów konsoli poprzez podanie znanego identyfikatora zasobu.

W platformie OpenRemote przed wersją 1.26.0 API eksportu datapointów konstruuje zapytanie SQL CSV crosstab poprzez konkatenację nazwy assetu i nazwy atrybutu, co pozwala uwierzytelnionemu użytkownikowi na wstrzyknięcie metaznaków SQL. Poprzez żądanie eksportu crosstab możliwe jest zwrócenie wyników wstrzykniętego SELECT w odpowiedzi ZIP/CSV, co umożliwia eksfiltrację danych z bazy. W środowisku wielodostępnym może to ujawnić dane innych najemców.

OpenRemote core (openremote-manager) przed 1.31.0 nie wykonuje autoryzacji realm ani potomnych bramy dla przychodzących zdarzeń bramy brzegowej i mapuje identyfikatory zasobów zdarzeń wyłącznie przez odwracalną transformację GatewayConnector.mapAssetId. Atakujący kontrolujący zarejestrowaną bramę może spreparować identyfikatory pre-image w komunikatach AttributeEvent lub DELETE AssetEvent, aby nadpisać atrybuty lub usunąć zasoby w dowolnym realm, naruszając izolację dzierżawców.

OpenRemote w wersjach od 1.2.0 do 1.31.0 zawiera lukę braku autoryzacji w GatewayServiceResource, która pozwala każdemu uwierzytelnionemu użytkownikowi na uruchamianie, zatrzymywanie i odpytywanie tuneli bramy bez roli administracyjnej. Atakujący może wysyłać żądania POST lub DELETE do punktu końcowego tunelu bramy, aby otworzyć trwałe dwukierunkowe obwody TCP do sieci bramy brzegowej lub zniszczyć tunele operatora.

OpenRemote to otwartoźródłowa platforma internetu rzeczy. Przed wersją 1.24.2, metody get, getUserClientRoles i getUserRealmRoles autoryzują wywołujących z rolą read:admin bez potwierdzenia, że docelowe UUID należy do żądanego i uwierzytelnionego realm. Administrator realm może pobrać dane użytkownika z innej dzierżawy lub realm master, łamiąc izolację dzierżaw.

OpenRemote to otwartoźródłowa platforma internetu rzeczy. Przed wersją 1.24.2, metoda KNXProtocol.startAssetImport przetwarza plik 0.xml z przesłanego projektu ETS ZIP z parserami XML, które pozwalają na rozwiązywanie encji zewnętrznych, co umożliwia odczyt plików dostępnych dla procesu JVM lub wykonywanie żądań po stronie serwera.

OpenRemote w wersjach przed 1.24.1 pozwala użytkownikom z uprawnieniami tylko read:assets na zapis przewidywanych punktów danych poprzez endpoint zapisu przewidywanych punktów danych. Wersja 1.24.1 naprawia ten problem.

OpenRemote przed wersją 1.28.0 zawiera podatność na ujawnienie informacji między domenami w API REST powiadomień. Administratorzy dzierżawy mogą odczytać wysłane powiadomienia wszystkich dzierżaw, w tym treści wiadomości, wysyłając żądanie GET bez parametrów do punktu końcowego powiadomień.

Punkty końcowe usuwania powiadomień w OpenRemote nie egzekwują granic domen (realm), co pozwala każdemu administratorowi domeny na usuwanie powiadomień należących do innych domen. Atakujący z rolą write:admin w jednej domenie mogą wysyłać żądania DELETE, aby usuwać powiadomienia z domeny głównej lub innych dzierżawców bez kontroli autoryzacji.

OpenRemote (org.openremote:openremote) w wersjach do 1.26.2 zawiera podatność na bezpośrednie odwołanie do niebezpiecznego obiektu (IDOR) w punkcie końcowym setAssetLinks w AlarmResourceImpl. Sprawdzanie dostępu do domeny (realm) waliduje tylko pojedynczą domenę uzyskaną przez realms.stream().findFirst() na HashSet domen z żądania, zamiast wszystkich domen. Ze względu na niedeterministyczną kolejność iteracji HashSet, uwierzytelniony atakujący może z około 50% prawdopodobieństwem na żądanie (z możliwością ponowienia) utrwalić linki między domenami i ujawnić nazwy zasobów ofiary.