PT-2026-123027

CVE-2026-116186

Publicado

2026-10-25

Atualizado

2026-10-25

Descrição por

CVSS 4.0

2.3

Baixa

MétricasAV:N/AC:H/AT:N/PR:L/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas OpenRemote core (openremote-manager) versões anteriores a 1.31.0

Descrição A autorização insuficiente de realm ou descendente de gateway em eventos de gateway de borda recebidos permite que um invasor que controle um gateway registrado quebre o isolamento de locatários. O sistema mapeia IDs de ativos de eventos usando a transformação reversível GatewayConnector.mapAssetId. Ao criar IDs de pré-imagem em mensagens AttributeEvent ou DELETE AssetEvent, um invasor pode sobrescrever atributos de ativos ou excluí-los em qualquer realm.

Recomendações Atualize o OpenRemote core (openremote-manager) para a versão 1.31.0 ou posterior.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Hongshengy

Pig-Tail

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-639: Authorization Bypass Through User-Controlled Key