CVE-2026-116186
Beschrijving NL
De OpenRemote-kern (openremote-manager) vóór 1.31.0 voert geen realm- of gateway-afgeleide autorisatie uit op inkomende randgatewaygebeurtenissen en brengt gebeurtenisactiva-ID's alleen in kaart via de omkeerbare GatewayConnector.mapAssetId-transformatie. Een aanvaller die een geregistreerde gateway beheert, kan pre-image-ID's maken in AttributeEvent of ASSETEVENT-BERICHTEN VERWIJDEREN om attributen te overschrijven op of te verwijderen van activa in elk gebied, waardoor de isolatie van de huurder wordt verbroken.
Origineel (Engels) tonen
OpenRemote core (openremote-manager) before 1.31.0 does not perform realm or gateway-descendant authorization on inbound edge gateway events and maps event asset IDs only through the reversible GatewayConnector.mapAssetId transform. An attacker controlling a registered gateway can craft pre-image IDs in AttributeEvent or DELETE AssetEvent messages to overwrite attributes on, or delete, assets in any realm, breaking tenant isolation.