CVE-2026-75340
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Interfejs importu metadanych urządzenia /device/instance/{productId}/property-metadata/import w jetlinks community 2.11 jest podatny na podrabianie żądań po stronie serwera (SSRF).
Ocena ryzyka
Atakujący może wykorzystać tę podatność do wysyłania żądań z serwera do wewnętrznych zasobów sieciowych, co może prowadzić do ujawnienia poufnych informacji lub dalszych ataków.
Rekomendacja
Zaleca się ograniczenie dostępu do tego interfejsu oraz wdrożenie walidacji i filtrowania adresów URL, aby zapobiec SSRF.
Inne podatności w jetlinks community
Zobacz wszystkie- CVE-2026-110110Średnie
JetLinks Community (wersje do 2.10.0) zawiera podatność braku autoryzacji, która umożliwia użytkownikom z dostępem tylko do odczytu włączanie lub wyłączanie dowolnej konfiguracji alarmów. Endpointy _enable i _disable w kontrolerze AlarmConfigController nie mają adnotacji save action, więc atakujący mogą przełączać alarmy po ID, aby wyciszyć powiadomienia dla monitorowanych urządzeń.
- CVE-2026-110109Średnie
JetLinks Community (wersje do 2.10.0) zawiera podatność braku autoryzacji, która umożliwia użytkownikom z tylko dostępem do odczytu do transparent-codec nadpisywanie kodeków produktów przez POST /device/transparent-codec/{productId}. Ponieważ endpoint nie ma adnotacji @SaveAction, atakujący mogą zapisać dowolnych dostawców kodeków i konfiguracje, kontrolując sposób dekodowania i kodowania wiadomości przesyłanych dla wszystkich urządzeń danego produktu.
Oryginalny opis (angielski, źródło NVD)
The device metadata import interface /device/instance/{productId}/property-metadata/import of jetlinks community 2.11 is vulnerable to Server-side request forgery (SSRF).
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS