CVE-2026-84175 in Ditto
Zusammenfassung
von VulDB • 02.09.2026
In Eclipse Ditto nelle versioni da 3.0.0 a 3.9.6, il servizio Things recupera i ThingModels di WoT (Web of Things) tramite HTTP dagli URL forniti dagli utenti dell'API nel campo definition di un Thing o Feature, senza convalidare l'host di destinazione e seguendo le ridirezioni HTTP senza una nuova convalida della destinazione della redirezione e senza un limite di hop. Un utente autenticato autorizzato a creare un Thing oppure che detiene i permessi WRITE su un Thing esistente può così indurre il servizio Things a emettere richieste HTTP GET arbitrarie dall'interno della rete del deployment, incluse quelle verso endpoint per i metadati delle istanze cloud e altri servizi interni, e può utilizzare le diverse risposte di errore restituite al chiamante per enumerare i servizi interni. Le versioni da 2.4.0 a 2.5.x contengono lo stesso codice ma sono colpite solo se l'operatore ha esplicitamente abilitato il flag WoT integration feature, che è disabilitato per impostazione predefinita in tali versioni.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.