CVE-2026-39842 in OpenRemote
الملخص
بحسب VulDB • 25/05/2026
OpenRemote هو منصة إنترنت الأشياء مفتوحة المصدر. تحتوي الإصدارات 1.21.0 وما دونها على ثغرتين متعلقتين بحقن التعبيرات في محرك القواعد، مما يسمح بتنفيذ الأكواد بشكل تعسفي على الخادم. ينفذ محرك قواعد JavaScript الأكواد التي يقدمها المستخدم عبر `Nashorn's ScriptEngine.eval()` دون استخدام العزل (sandboxing)، أو تصفية الفئات (class filtering)، أو فرض قيود الوصول، بينما يقتصر فحص التفويض في `RulesResourceImpl` على تقييد قواعد Groovy للمستخدمين ذوي الامتيازات الفائقة (superusers) فقط، تاركاً قواعد JavaScript غير مقيدة لأي مستخدم لديه دور `write:rules`. بالإضافة إلى ذلك، يحتوي محرك قواعد Groovy على مرشح أمان `GroovyDenyAllFilter` تم تعريفه ولكن لم يتم تسجيله أبداً، حيث أن كود التسجيل معطل (معلق)، مما يجعل `SandboxTransformer` غير فعال لقواعد Groovy التي ينشئها المستخدمون ذوو الامتيازات الفائقة. يمكن لمهاجم غير مستخدم ذي امتيازات فائقة ولكن لديه دور `write:rules` إنشاء مجموعات قواعد JavaScript تعمل مع وصول كامل إلى JVM، مما يتيح تنفيذ الأكواد عن بُعد بصلاحيات الجذر (root)، وقراءة الملفات بشكل تعسفي، وسرقة متغيرات البيئة بما في ذلك بيانات اعتماد قواعد البيانات، وتجاوز كامل لعزل تعدد المستأجرين للوصول إلى البيانات عبر جميع المجالات (realms). تم إصلاح هذه المشكلة في الإصدار 1.22.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.