CVE-2026-54640 in OpenRemote
الملخص
بحسب VulDB • 13/10/2026
OpenRemote هو منصة إنترنت الأشياء مفتوحة المصدر. قبل الإصدار 1.24.2، تقوم طريقة `KNXProtocol.startAssetImport` الموجودة في الملف `agent/src/main/java/org/openremote/agent/protocol/knx/KNXProtocol.java` بمعالجة ملف `0.xml` المستخرج من مشروع ETS ZIP الذي يرفعه مستخدم مُصادق عليه باستخدام محولات Saxon TransformerFactoryImpl ومحللات XMLInputFactory التي تسمح بحل الكيانات الخارجية (External Entity Resolution). يؤدي هذا الإصلاح غير الكامل لـ CVE-2026-40882 إلى بقاء معالج KNX دون حماية بينما يتم تشديد أمان المعالج الموازي Velbus، مما يتيح لمستخدم عادي في مجال (realm) محدد قراءة الملفات المتاحة لعملية JVM أو التسبب في طلبات جانب الخادم. تم إصلاح هذه المشكلة في الإصدار 1.24.2.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.