CVE-2026-59229 in IoTDB
Sumário
de VulDB • 21/10/2026
O protocolo do receptor Legacy Pipe (handshake / sendPipeData) utiliza uma identidade SUPER_USER hardcoded (root) ao executar operações de carregamento e exclusão de dados. Um usuário com apenas privilégios em nível SYSTEM (como USE_PIPE ou MAINTAIN), que NÃO possui permissões WRITE_DATA ou DELETE_DATA nos bancos de dados alvo, pode enviar mensagens PipeData especialmente elaboradas por meio da API Legacy Pipe, resultando na execução das operações de carregamento/exclusão de dados como root — efetivamente contornando completamente o modelo de permissão do IoTDB.
Este problema afeta o Apache IoTDB: desde a versão 2.0.0 até antes da 2.0.11.
Recomenda-se que os usuários atualizem para a versão 2.0.11, que corrige o problema.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.