پلتفرم متن‌باز اینترنت اشیاء (IoT) موسوم به OpenRemote با یک آسیب‌پذیری امنیتی جدی در بخش API مواجه است. این نقص امنیتی که تحت شناسه CVE-2026-63224 شناخته می‌شود، در نسخه‌های پیش از 1.26.0 وجود دارد.
جزئیات فنی آسیب‌پذیری
در نسخه‌های آسیب‌پذیر، API مربوط به datapoint export برای ساخت کوئری‌های SQL جهت خروجی CSV crosstab، از روش الحاق رشته‌ها (Concatenation) استفاده می‌کند. این فرآیند شامل ترکیب نام دارایی (asset name) و نام ویژگی (attribute name) در یک دستور COPY است که از قابلیت crosstab برای استریم داده‌ها به STDOUT استفاده می‌کند.
مشکل اصلی در اینجا است که asset name هم به عنوان یک شناسه ستون داخل کوتیشن دوگانه (double-quoted column identifier) و هم به عنوان یک کوئری دسته‌بندی که با جداکننده ثابت $cat$ محصور شده، وارد دستور می‌شود. از آنجایی که فرآیند پاک‌سازی (Escaping) تنها بر روی تک‌کوتیشن‌ها (single quotes) تمرکز دارد، این مکانیزم نمی‌تواند از نفوذ کوتیشن‌های دوگانه در شناسه‌ها یا سوءاستفاده از جداکننده دلاری (dollar-quoted delimiter) جلوگیری کند. این نقص می‌تواند منجر به تزریق دستورات SQL (SQL Injection) شود.
اقدامات اصلاحی
- به‌روزرسانی پلتفرم OpenRemote به نسخه 1.26.0 یا بالاتر.
- بررسی دقیق لاگ‌های API برای شناسایی الگوهای غیرعادی در پارامترهای خروجی داده.
