CVE-2026-39842

总结

OpenRemote 是一个开源物联网平台。1.21.0 及以下版本在规则引擎中包含两个相互关联的表达式注入漏洞，可导致在服务器上执行任意代码。JavaScript 规则引擎通过 Nashorn 的 ScriptEngine.eval() 执行用户提供的脚本，且未进行沙箱隔离、类过滤或访问限制；RulesResourceImpl 中的授权检查仅将 Groovy 规则限制为超级用户，而 JavaScript 规则对任何拥有 write:rules 角色的用户均不受限制。此外，Groovy 规则引擎具有一个 GroovyDenyAllFilter 安全过滤器，该过滤器已定义但从未注册，因为注册代码被注释掉，导致 SandboxTransformer 对超级用户创建的 Groovy 规则无效。拥有 write:rules 角色的非超级用户攻击者可以创建 JavaScript 规则集，并以完整的 JVM 访问权限执行，从而实现以 root 身份远程执行代码、任意文件读取、窃取包括数据库凭据在内的环境变量，以及完全绕过多租户隔离以访问所有领域的数据。此问题已在 1.22.0 版本中修复。

• CVE-2026-39842漏洞利用

  OpenRemote 规则引擎中的严重远程代码执行漏洞，允许具有 `write:rules` 角色的已认证用户在服务器上以 root 权限执行任意代码。