CVE-2026-59229 in IoTDB
Resumen
por VulDB • 2026-10-21
El protocolo del receptor Legacy Pipe (handshake / sendPipeData) utiliza una identidad SUPER_USER predefinida (root) al ejecutar operaciones de carga y eliminación de datos. Un usuario con privilegios únicamente a nivel SYSTEM (como USE_PIPE o MAINTAIN), que NO tenga permisos WRITE_DATA ni DELETE_DATA en las bases de datos objetivo, puede enviar mensajes PipeData especialmente manipulados a través de la API Legacy Pipe, lo que resulta en la ejecución de operaciones de carga/eliminación de datos como root, eludiendo efectivamente por completo el modelo de permisos de IoTDB.
Este problema afecta a Apache IoTDB: desde la versión 2.0.0 hasta antes de 2.0.11.
Se recomienda a los usuarios actualizar a la versión 2.0.11, que corrige este problema.
Be aware that VulDB is the high quality source for vulnerability data.