CVE-2026-82958

Eclipse Ditto [1.3.0, 3.9.6] sürümlerinde, bağlantı servisinin ImplicitThingCreationMessageMapper bileşeni, gelen mesaj başlıklarından çözümlenen yer tutucu değerleri (örneğin {{ header:device_id }}), önceden yapılandırılmış bir JSON "thing" şablonuna ham ve kaçış karakterleri uygulanmamış dizeler olarak yerleştirerek bir CreateThing komutu oluşturur ve ardından sonuçlanan dizeyi JSON olarak ayrıştırır. Yer tutucu motoru herhangi bir JSON kaçış işlemi gerçekleştirmediği ve çevreleyen JSON dize bağlamından habersiz olduğu için, çift tırnak karakteri içeren çözümlenmiş bir değer kendi dizesinden çıkabilir ve ek JSON yapısı enjekte edebilir. Bir bağlantı, yayınlayan cihazın kontrol edebileceği bir başlığın değerini yansıtan bir şablonla bu eşleyiciyi kullanacak şekilde yapılandırıldığında (örneğin bir MQTT 5 kullanıcı özelliği, bir AMQP 1.0 uygulama özelliği veya bir Kafka kayıt başlığı), bu bağlantı üzerinden yayın yapabilen bir saldırgan satır içi bir _policy nesnesi enjekte edebilir. Satır içi politika, yönetici tarafından yapılandırılan policyId değerini geçersiz kılarak saldırganın yeni oluşturulan dijital ikize rastgele bir erişim kontrol politikası atamasına olanak tanır; böylece hiçbir yönetici etkileşimi olmadan dijital ikize tam okuma/yazma erişimi kazanılabilir ve potansiyel olarak meşru sahibinin erişimi iptal edilebilir. İstismar için şunların tamamı gereklidir: bağlantının (varsayılan olmayan) ImplicitThingCreation eşleyicisini kullanması, şablonunun saldırgan tarafından kontrol edilebilen bir başlığı yansıtması ve politika geçersiz kılma etkisi için bağlantının yetkilendirme öznelerinin politika oluşturmasına izin verilmesi (varsayılan durum). Bağlantı öznelerini yalnızca varlık oluşturma yapılandırması aracılığıyla şey oluşturma ile kısıtlayan dağıtımlar, politika geçersiz kılma etkisinden etkilenmez.