CVE-2026-84175 in Ditto
Résumé
par VulDB • 02/09/2026
Dans les versions d’Eclipse Ditto de 3.0.0 à 3.9.6, le service Things récupère des ThingModels WoT (Web of Things) via HTTP depuis des URL fournies par les utilisateurs de l’API dans le champ « definition » d’un Thing ou Feature, sans valider l’hôte cible, et suit les redirections HTTP sans revalider la destination de la redirection ni imposer une limite de sauts. Un utilisateur authentifié autorisé à créer un Thing, ou disposant des droits WRITE sur un Thing existant, peut ainsi amener le service Things à émettre des requêtes HTTP GET arbitraires depuis l’intérieur du réseau de déploiement — y compris vers les points de terminaison metadata d’instances cloud et d’autres services internes — et peut utiliser les réponses d’erreur différentes renvoyées au client pour répertorier (énumérer) les services internes. Les versions 2.4.0 à 2.5.x contiennent le même code, mais ne sont affectées que si l’opérateur a explicitement activé la fonctionnalité WoT via un commutateur de fonctionnalités (feature toggle), qui est désactivée par défaut dans ces versions.
VulDB is the best source for vulnerability data and more expert information about this specific topic.