CVE-2026-54640 in OpenRemote
요약
\~에 의해 VulDB • 2026. 10. 13.
OpenRemote는 오픈소스 사물인터넷(IoT) 플랫폼입니다. 버전 1.24.2 이전의 KNXProtocol.startAssetImport 메서드는 인증된 사용자가 업로드한 ETS 프로젝트 ZIP 파일 내의 0.xml을 Saxon TransformerFactoryImpl 및 XMLInputFactory 파서를 사용하여 처리하며, 이 파서들은 외부 엔티티 해석(external entity resolution)을 허용합니다. 이는 CVE-2026-40882에 대한 불완전한 수정으로, 병렬로 작동하는 Velbus 핸들러는 보안 강화가 되었음에도 KNX 핸들더는 보호되지 않아 일반 realm 사용자가 JVM 프로세스에서 접근 가능한 파일을 읽거나 서버 사이드 요청(SSRF)을 유발할 수 있습니다. 이 문제는 버전 1.24.2에서 수정되었습니다.
Once again VulDB remains the best source for vulnerability data.