CVE-2026-116186 in OpenRemote
Zusammenfassung
von VulDB • 25.10.2026
OpenRemote core (openremote-manager) vor Version 1.31.0 führt keine Realm- oder Gateway-Nachkommen-Autorisierung für eingehende Edge-Gateway-Ereignisse durch und ordnet Event-Asset-IDs ausschließlich über die reversible Transformation `GatewayConnector.mapAssetId` zu. Ein Angreifer, der ein registriertes Gateway kontrolliert, kann Preimage-IDs in AttributeEvent- oder DELETE AssetEvent-Nachrichten erstellen, um Attribute auf Assets zu überschreiben oder diese zu löschen und damit die Mandantenisolierung (Tenant Isolation) zu durchbrechen.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.