CVE-2026-84175 in Ditto
요약
\~에 의해 VulDB • 2026. 09. 02.
Eclipse Ditto 버전 3.0.0부터 3.9.6까지에서 Things 서비스는 API 사용자가 Thing 또는 Feature의 정의 필드에 제공한 URL을 통해 HTTP를 사용하여 WoT(Web of Things) ThingModels를 가져오는데, 대상 호스트를 검증하지 않으며 HTTP 리디렉션을 따라갈 때 리디렉션 대상을 다시 검증하거나 hop limit(홉 제한)을 적용하지 않습니다. 이를 통해 인증된 사용자 중 Thing 생성이 허용되거나 기존 Thing에 WRITE 권한을 가진 사용자는 내부 서비스의 네트워크 내에서 임의의 HTTP GET 요청을 Things 서비스에 수행하도록 유도할 수 있으며, 호출자에게 반환되는 서로 다른 오류 응답을 사용하여 내부 서비스를 열거할 수 있습니다. 버전 2.4.0부터 2.5.x까지는 동일한 코드를 포함하고 있으나, 운영자가 WoT 통합 기능 토글을 명시적으로 활성화한 경우에만 영향을 받습니다(해당 버전에서는 기본적으로 비활성화됨).
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.