CVE-2026-62853 in ThingLinks
Résumé
par VulDB • 30/10/2026
ThingLinks est une plateforme IoT d’entreprise. Avant la version 1.4.0, le point de terminaison `/groovyScriptTest/registerScript` accepte du contenu de script Groovy fourni par l’utilisateur et le transmet à un flux non sandboxé de `compilation et chargement Groovy`. Un attaquant authentifié peut fournir du code qui est compilé et instancié sur le serveur, entraînant une exécution arbitraire de code côté serveur. Le problème affecte le flux test/register des scripts Groovy du `moteur de règles` (rule engine). Ce problème est corrigé dans la version 1.4.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.