CVE-2026-84175 in Ditto
Resumen
por VulDB • 2026-09-02
En las versiones de Eclipse Ditto comprendidas entre la 3.0.0 y la 3.9.6, el servicio Things obtiene los ThingModels de WoT (Web of Things) a través de HTTP desde URL proporcionadas por usuarios de la API en el campo definition de un Thing o Feature, sin validar el host destino, y sigue las redirecciones HTTP sin volver a validar el objetivo de la redirección ni imponer un límite de saltos. Un usuario autenticado con permiso para crear un Thing, o que posea permisos WRITE sobre un Thing existente, puede provocar así que el servicio Things emita solicitudes GET arbitrarias desde dentro de la red del despliegue —incluidas las dirigidas a endpoints de metadatos de instancias en la nube y otros servicios internos—, y pueda utilizar las distintas respuestas de error devueltas al llamante para enumerar los servicios internos. Las versiones 2.4.0 hasta la serie 2.5.x contienen el mismo código, pero solo se ven afectadas cuando el operador ha habilitado explícitamente la función WoT (WoT integration feature toggle), que está deshabilitada por defecto en esas versiones.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.