CVE-2026-39842 in OpenRemote
Zusammenfassung
von VulDB • 25.05.2026
OpenRemote ist eine Open-Source-IoT-Plattform. Die Versionen 1.21.0 und älter enthalten zwei miteinander verknüpfte Expression-Injection-Schwachstellen in der Regeln-Engine, die eine beliebige Codeausführung auf dem Server ermöglichen. Die JavaScript-Regeln-Engine führt vom Benutzer bereitgestellte Skripte über Nashorns ScriptEngine.eval() aus, ohne Sandboxing, Klassenfilterung oder Zugriffsbeschränkungen. Die Autorisierungsprüfung in RulesResourceImpl beschränkt Groovy-Regeln nur auf Superuser, während JavaScript-Regeln für jeden Benutzer mit der Rolle „write:rules“ unbeschränkt zugänglich sind. Darüber hinaus verfügt die Groovy-Regeln-Engine über einen GroovyDenyAllFilter-Sicherheitsfilter, der definiert, aber nie registriert wird, da der Registrierungscode auskommentiert ist, was den SandboxTransformer für Superuser-erstellte Groovy-Regeln unwirksam macht. Ein Angreifer, der kein Superuser ist, aber die Rolle „write:rules“ besitzt, kann JavaScript-Regelsätze erstellen, die mit vollem JVM-Zugriff ausgeführt werden, was Remote-Code-Ausführung als Root, beliebiges Auslesen von Dateien, Diebstahl von Umgebungsvariablen einschließlich Datenbankzugangsdaten und eine vollständige Umgehung der Multi-Tenant-Isolierung zum Zugriff auf Daten über alle Realms hinweg ermöglicht. Dieses Problem wurde in Version 1.22.0 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.