CVE-2026-62853

CVSS 9.9 CRITICAL RCE

ThingLinks vulnerable to authenticated remote code execution via Groovy script registration in ThingLinks

Công bố: 2026-10-31
Cập nhật: 2026-10-31
Lần đầu thấy: 2026-10-31
Nguồn: NVD, CVE.org

Mô tả

ThingLinks is an enterprise IoT platform. Prior to 1.4.0, the /groovyScriptTest/registerScript endpoint accepts user-supplied Groovy script content and passes it to an unsandboxed Groovy compilation and loading flow. An authenticated attacker can provide code that is compiled and instantiated on the server, resulting in arbitrary server-side code execution. The issue affects the rule engine's Groovy script test/register flow. This issue is fixed in version 1.4.0.

Điểm và phân loại

CVSS: 9.9 CRITICAL v3.1
Nguồn điểm: NVD
Mức độ (theo nguồn): CRITICAL
EPSS: —
CWE: CWE-78, CWE-94

Vector CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Ảnh hưởng

Sản phẩm

mqttsnet thinglinks

Vì sao được giữ

CVSS 9.9 >= 8.0

Loại tác động

RCE: CWE-78; CWE-94; từ khoá "remote code execution"

Dữ liệu riêng của nguồn

CVE.org · Đơn vị cấp mã: GitHub_M