CVE-2026-84175

Eclipse Ditto 3.0.0–3.9.6 versiyalarında Things xidməti WoT (Web of Things) ThingModels obyektlərini HTTP vasitəsilə API istifadəçilərinin Thing və ya Feature-in definition sahəsində təqdim etdiyi URL-lərdən, hədəf hostu yoxlamadan əldə edir və HTTP yönləndirmələrini yönləndirmə hədəfini yenidən yoxlamadan və hop limiti olmadan izləyir. Thing yaratmaq icazəsi olan və ya mövcud Thing üzərində WRITE icazəsinə malik autentifikasiyadan keçmiş istifadəçi bununla Things xidmətinin yerləşdirmənin şəbəkəsi daxilindən ixtiyari HTTP GET sorğuları — o cümlədən bulud instansiyasının metadata endpoint-lərinə və digər daxili xidmətlərə — göndərməsinə səbəb ola bilər və çağırana qaytarılan fərqli xəta cavablarından istifadə edərək daxili xidmətləri sadalaya bilər. 2.4.0–2.5.x versiyaları eyni kodu ehtiva edir, lakin yalnız operatorun WoT inteqrasiyası funksiya açarını açıq şəkildə aktivləşdirdiyi hallarda təsirlənir; bu açar həmin versiyalarda defolt olaraq deaktivdir.