PT-2026-134205

CVE-2026-62853

·

Publicado

2026-10-30

·

Atualizado

2026-10-30

Descrição por

CVSS 3.1
9.9
Crítica
MétricasAV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
Nome do Software Vulnerável e Versões Afetadas ThingLinks versões anteriores a 1.4.0
Descrição Um invasor autenticado pode alcançar a execução arbitrária de código no servidor através do fluxo de teste/registro de script Groovy do rule engine. O endpoint '/groovyScriptTest/registerScript' aceita conteúdo de script Groovy fornecido pelo usuário e o passa para um fluxo de compilação e carregamento Groovy não isolado (unsandboxed), permitindo que o código seja compilado e instanciado no servidor.
Recomendações Atualizar para a versão 1.4.0.
Explorabilidade
Correção
Impactos
Fornecedores
Produtos afetados
Enumeração de fraquezas
CWE-94: Improper Control of Generation of Code (\'Code Injection\')
CWE-78: Improper Neutralization of Special Elements used in an OS Command (\'OS Command Injection\')
Identificadores relacionados
CVE-2026-62853
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com