CVE-2026-62849
KritikTeknik Veri (Otomatik)
- CVSS Skoru
- 9.1
- EPSS
- 0.5%
- CWE
- CWE-89
- KEV Durumu
- Hayır
Yayım tarihi: 30 Ekim 2026
ThingLinks, bir entreprise IoT platformudur. 1.4.0 sürümünden önce, `TDengine TDS APIs`中的 bir kimlik doğrulaması yapılmayan SQL enjeksiyon zafiyeti, `/anyUser/tds/insertTableData` adresine gönderilen istek kontrollü JSON alan değerlerinin `TDS mapper`中的 güvenli olmayan SQL yapımı ile erişmesine izin verir. Uzak, kimlik doğrulaması yapılmayan bir saldırgan, TDengine zaman serisi verilerini değiştirebilir, bu da istenmeyen satırları eklemeyi veya mevcut okumaları geçersiz kılmayı içerir. Etkilenen yüzey, TDS modülünün insert-table-data akışı ve TDengine mapper SQL oluşturma işlevidir. Bu sorun 1.4.0 sürümünde giderilmiştir.
Orijinal açıklama (İngilizce)
ThingLinks is an enterprise IoT platform. Prior to 1.4.0, an unauthenticated SQL injection vulnerability in the `TDengine TDS APIs` allows request-controlled JSON field values submitted to `/anyUser/tds/insertTableData` to reach unsafe SQL construction in the `TDS mapper`. A remote unauthenticated attacker can tamper with TDengine time-series data, including inserting unintended rows or overwriting existing readings. The affected surface is the TDS module's insert-table-data flow and TDengine mapper SQL generation. This issue is fixed in version 1.4.0.
Referanslar
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.