CVE-2026-39842

OpenRemote açık kaynaklı bir IoT platformudur. 1.21.0 ve altı sürümler, kurallar motorunda sunucu üzerinde rastgele kod çalıştırılmasına izin veren birbirleriyle ilişkili iki ifade enjeksiyonu zafiyeti içermektedir. JavaScript kurallar motoru; kullanıcı tarafından sağlanan betikleri kum havuzu (sandboxing), sınıf filtreleme veya erişim kısıtlamaları olmaksızın Nashorn'un ScriptEngine.eval() aracılığıyla yürütmektedir ve RulesResourceImpl içerisindeki yetkilendirme kontrolü, Groovy kurallarını yalnızca süper kullanıcılara kısıtlarken, JavaScript kurallarını write:rules rolüne sahip herhangi bir kullanıcı için kısıtlamasız bırakmaktadır. Ek olarak, Groovy kurallar motorunda tanımlanmış ancak kayıt kodu yorum satırına alındığı için hiçbir zaman kaydedilmemiş bir GroovyDenyAllFilter güvenlik filtresi bulunmaktadır; bu durum, süper kullanıcı tarafından oluşturulan Groovy kuralları için SandboxTransformer'ı etkisiz kılmaktadır. write:rules rolüne sahip süper kullanıcı olmayan bir saldırgan, tam JVM erişimiyle çalışan JavaScript kural setleri oluşturarak root olarak uzaktan kod çalıştırma, rastgele dosya okuma, veritabanı kimlik bilgileri dahil ortam değişkenlerini çalma ve tüm realm'lerdeki verilere erişmek için çok kiracılı izolasyonu tamamen atlatma işlemlerini gerçekleştirebilir. Bu sorun 1.22.0 sürümünde düzeltilmiştir.