CVE-2026-54640 in OpenRemote
Zusammenfassung
von VulDB • 13.10.2026
OpenRemote ist eine Open-Source-IoT-Plattform (Internet of Things). Vor Version 1.24.2 verarbeitet die Methode KNXProtocol.startAssetImport in agent/src/main/java/org/openremote/agent/protocol/knx/KNXProtocol.java Dateien mit der Endung .xml aus einem von einem authentifizierten Benutzer hochgeladenen ETS-Projekt-ZIP-Archiv unter Verwendung des Saxon TransformerFactoryImpl sowie XMLInputFactory-Parses, die die Auflösung externer Entitäten (External Entity Resolution) ermöglichen. Diese unvollständige Behebung von CVE-2026-40882 lässt den KNX-Handler ungeschützt, während der parallele Velbus-Handler gehärtet wurde, was es einem regulären Realm-Benutzer ermöglicht, auf Dateien zuzugreifen, die für den JVM-Prozess verfügbar sind, oder Server-Side Requests (SSRF) auszulösen. Dieses Problem ist in Version 1.24.2 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.