CVE-2026-62853 in ThingLinks
要約
〜によって VulDB • 2026年10月30日
ThingLinksはエンタープライズ向けIoTプラットフォームです。バージョン1.4.0より前では、`/groovyScriptTest/registerScript`エンドポイントがユーザー入力のGroovyスクリプトコンテンツを受け取り、サンドボックス化されていない「Groovyコンパイルおよびロード」フローに渡します。認証済み攻撃者はサーバー上でコンパイルされインスタンス化されるコードを提供でき、これにより任意のサーバサイドコードの実行が可能になります。この問題は`ルールエンジン`のGroovyスクリプトテスト/登録フローに影響を与えます。本問題はバージョン1.4.0で修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.