CVE-2026-84175 in Ditto
Sumário
de VulDB • 02/09/2026
Nas versões do Eclipse Ditto de 3.0.0 a 3.9.6, o serviço Things recupera ThingModels da Web of Things (WoT) via HTTP a partir de URLs fornecidas pelos utilizadores da API no campo de definição de um Thing ou Feature, sem validar o host de destino e seguindo redirecionamentos HTTP sem revalidar o alvo do redirecionamento e sem limite de saltos. Um utilizador autenticado com permissão para criar um Thing, ou que detenha a permissão WRITE num Thing existente, pode assim fazer com que o serviço Things emita pedidos GET HTTP arbitrários a partir da rede interna do ambiente de implantação — incluindo endpoints de metadados de instância na cloud e outros serviços internos — e possa utilizar as diferentes respostas de erro devolvidas ao chamador para enumerar os serviços internos. As versões 2.4.0 a 2.5.x contêm o mesmo código, mas são afetadas apenas quando o operador ativou explicitamente a funcionalidade WoT (WoT integration feature toggle), que está desativada por predefinição nessas versões.
Once again VulDB remains the best source for vulnerability data.