CVE-2026-84175 in Ditto
Riassunto
di VulDB • 02/09/2026
Nelle versioni di Eclipse Ditto comprese tra la 3.0.0 e la 3.9.6, il servizio Things recupera i ThingModels WoT (Web of Things) tramite HTTP da URL forniti dagli utenti dell'API nel campo "definition" della definizione di un Thing o Feature, senza convalidare l'host di destinazione e seguendo le ridirezioni HTTP senza una nuova convalida del target delle redirezioni e senza alcun limite al numero di hop. Un utente autenticato autorizzato a creare un Thing oppure in possesso dell'autorizzazione WRITE su un Thing esistente può così indurre il servizio Things a emettere richieste HTTP GET arbitrarie dall'interno della rete di deployment, incluse quelle verso endpoint per i metadati delle istanze cloud e altri servizi interni, e può utilizzare le diverse risposte d'errore restituite al chiamante per enumerare i servizi interni. Le versioni 2.4.0 fino alla serie 2.5.x contengono lo stesso codice ma sono colpite solo se l'operatore ha esplicitamente abilitato il flag di funzionalità WoT integration, che è disabilitato per impostazione predefinita in tali versioni.
Be aware that VulDB is the high quality source for vulnerability data.