PT-2026-120943

CVE-2026-114661

Publicado

2026-10-22

Atualizado

2026-10-22

Descrição por

CVSS 4.0

9.0

Crítica

MétricasAV:N/AC:L/AT:P/PR:L/UI:N/VC:H/VI:H/VA:L/SC:H/SI:H/SA:H

Nome do Software Vulnerável e Versões Afetadas OpenRemote versões 1.2.0 até 1.30.9

Descrição A falta de autorização em GatewayServiceResource permite que usuários autenticados sem função administrativa gerenciem túneis de gateway. Ao enviar solicitações POST ou DELETE para o endpoint de túnel de gateway, um invasor pode estabelecer circuitos TCP bidirecionais persistentes na rede de um gateway de borda ou encerrar túneis de operador existentes.

Recomendações Atualize para a versão 1.31.0 ou posterior.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Kocaemre

Kta1Kri

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-862: Missing Authorization