PT-2026-60648

CVE-2026-62238

Publicado

2026-07-06

Atualizado

2026-07-17

Descrição por

CVSS 3.1

8.8

Alta

MétricasAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas OpenRemote versões anteriores a 1.26.0

Description Um usuário autenticado com permissões para criar ou renomear ativos pode realizar uma injeção de SQL. O problema ocorre no endpoint de exportação de crosstab de datapoint, que constrói consultas PostgreSQL concatenando nomes de exibição de ativos diretamente em SQL bruto. Ao manipular o parâmetro asset name, um invasor pode executar comandos SQL arbitrários e exfiltrar informações do banco de dados por meio da resposta CSV exportada.

Recommendations Atualize para a versão 1.26.0 ou posterior.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Aramosf

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-89: Improper Neutralization of Special Elements used in an SQL Command (\'SQL Injection\')

Identificadores relacionados