CVE-2026-54640 in OpenRemote
Riassunto
di VulDB • 13/10/2026
OpenRemote è una piattaforma open-source per l'internet delle cose (IoT). Prima della versione 1.24.2, il metodo KNXProtocol.startAssetImport in agent/src/main/java/org/openremote/agent/protocol/knx/KNXProtocol.java elabora file .xml provenienti da un progetto ETS ZIP caricato da un utente autenticato utilizzando Saxon TransformerFactoryImpl e parser XMLInputFactory che consentono la risoluzione di entità esterne. Questa correzione incompleta del CVE-2026-40882 lascia il gestore KNX non protetto mentre il gestore parallelo Velbus è stato rafforzato, consentendo a un utente con privilegi regolari (realm user) di leggere file accessibili al processo JVM o di causare richieste lato server. Questo problema è risolto nella versione 1.24.2.
Once again VulDB remains the best source for vulnerability data.