ThingLinksに認証不要のSQLインジェクション、修正版あり
Summary
IoTプラットフォームThingLinksの1.4.0より前の版に、ログインなしで時系列データを書き換えられる脆弱性が見つかりました。TDengineにセンサー値を保存している組織は、版を調べて1.4.0へ更新してください。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
IoTプラットフォームThingLinksの1.4.0より前の版に、ログインなしで時系列データを書き換えられる脆弱性が見つかりました。TDengineにセンサー値を保存している組織は、版を調べて1.4.0へ更新してください。
Original description The description as published by the source.
ThingLinks is an enterprise IoT platform. Prior to 1.4.0, an unauthenticated SQL injection vulnerability in the TDengine TDS APIs allows request-controlled JSON field values submitted to /anyUser/tds/insertTableData to reach unsafe SQL construction in the TDS mapper. A remote unauthenticated attacker can tamper with TDengine time-series data, including inserting unintended rows or overwriting existing readings. The affected surface is the TDS module's insert-table-data flow and TDengine mapper SQL generation. This issue is fixed in version 1.4.0.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- advisory github.com
- advisory github.com
- advisory nvd.nist.gov
- patch github.com
- web github.com