CVE-2026-84175

Nome do Software Vulnerável e Versões Afetadas Eclipse Ditto versões 3.0.0 a 3.9.6 Eclipse Ditto versões 2.4.0 a 2.5.x

Descrição O serviço Things busca ThingModels de Web of Things (WoT) via HTTP a partir de URLs fornecidas por usuários no campo de definição de um Thing ou Feature. O serviço não valida o host de destino e segue redirecionamentos HTTP sem revalidar o alvo e sem um limite de saltos (hop limit). Um usuário autenticado com permissão para criar um Thing, ou com permissão de escrita (WRITE) em um Thing existente, pode fazer com que o serviço envie requisições HTTP GET arbitrárias de dentro da rede de implantação. Isso permite atingir endpoints de metadados de instâncias em nuvem e outros serviços internos, possibilitando a enumeração de serviços internos através das diferentes respostas de erro retornadas.

Recomendações Atualize para uma versão posterior à 3.9.6. Para as versões 2.4.0 a 2.5.x, desative a alternância de recurso (feature toggle) de integração WoT. Restrinja as permissões de escrita para a criação ou modificação de Things apenas a usuários confiáveis.