CVE-2026-39842

OpenRemote açıq mənbəli IoT platformasıdır. Versiya 1.21.0 və daha aşağı versiyalarda qaydalar mühərrikində (rules engine) serverdə ixtiyari kodun icrasına imkan verən iki qarşılıqlı əlaqəli ifadə inyeksiyası (expression injection) zəifliyi mövcuddur. JavaScript qaydalar mühərriki istifadəçi tərəfindən təmin edilən skriptləri Nashorn-un ScriptEngine.eval() funksiyası vasitəsilə hər hansı bir sandbox, sinif filtrləməsi və ya giriş məhdudiyyətləri olmadan icra edir; RulesResourceImpl-dəki avtorizasiya yoxlaması isə yalnız Groovy qaydalarını superistifadəçilərlə məhdudlaşdırır, lakin write:rules roluna malik hər hansı istifadəçi üçün JavaScript qaydalarını məhdudiyyətsiz saxlayır. Əlavə olaraq, Groovy qaydalar mühərrikində GroovyDenyAllFilter təhlükəsizlik filtri təyin edilmişdir, lakin qeydiyyat kodu şərhə alındığı üçün heç vaxt qeydiyyata alınmamışdır ki, bu da superistifadəçilər tərəfindən yaradılan Groovy qaydaları üçün SandboxTransformer-i effektivsiz edir. write:rules roluna malik olan və superistifadəçi olmayan hücumçu, tam JVM girişinə malik JavaScript qayda dəstləri yarada bilər ki, bu da root səviyyəsində uzaqdan kodun icrasını, ixtiyari faylların oxunmasını, verilənlər bazası etibarnamələri daxil olmaqla mühit dəyişənlərinin oğurlanmasını və bütün realm-lər üzrə məlumatlara giriş üçün çoxmüştəkli (multi-tenant) izolyasiyasından tam şəkildə yan keçməni mümkün edir. Bu problem 1.22.0 versiyasında düzəldilmişdir.