Veille sécuritéBackend & données
P3Élevée
Avant OpenRemote 1.24.2, l’import d’un projet ETS pouvait traiter un fichier XML avec des parseurs autorisant la résolution d’entités externes. Un utilisateur authentifié pouvait ainsi lire des fichiers accessibles au processus Java ou provoquer des requêtes côté serveur.
Java
IdentifiantCVE-2026-54640
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif1.24.2
Source : NVD — CVE-2026-54640
Analyse technique
Le traitement de 0.xml par KNXProtocol.startAssetImport utilise des parseurs XML qui permettent la résolution d’entités externes.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-13, dans la période demandée; il s’agit d’une vulnérabilité nouvellement publiée, et non d’une simple modification administrative.
ImpactLecture de fichiers accessibles au processus JVM et requêtes réseau côté serveur.
Versions affectéesOpenRemote < 1.24.2
Version corrigée1.24.2
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.6
Publication2026-10-13T17:17:41.490Z
Mise à jour2026-10-13T21:17:39.270Z
Action recommandée
Mettre à niveau OpenRemote vers la version 1.24.2 ou ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).