Kritisch

Authentication Bypass by Spoofing vulnerability in Apache IoTDB.

Veröffentlicht: 06.07.2026
Aktualisiert: 11.10.2026 13:19

Authentication Bypass by Spoofing vulnerability in Apache IoTDB. Certain Thrift RPC query handlers lack strict validation of the sessionId parameter. An attacker can construct requests with a forged sessionId and, without performing openSession authentication, receive valid query results. This allows authentication bypass and unauthorized reading of time-series data.

This issue affects Apache IoTDB: from 1.3.3 before 2.0.8.

Users are recommended to upgrade to version 2.0.8, which fixes the issue.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

Plattform	Paket	Anfällige Versionen	Behoben in
Python (PyPI)	apache-iotdb	>= 1.3.3, < 2.0.8	2.0.8

Verweise

CVSS-Wert 9.1/10

CVSS-Vektor: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
Schwäche (CWE): -
Plattform: Python (PyPI)
Paket: apache-iotdb
Veröffentlicht: 06.07.2026
Aktualisiert: 11.10.2026 13:19

Quellen und Lizenzen

OSV / GitHub Advisory Database - PYSEC-2026-2080 - PyPA Advisory Database; CC BY 4.0

Schwachstellenhistorie: apache-iotdb

Alle veröffentlichten Schwachstellen dieses Pakets (Python (PyPI)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (12) im Archiv

Einträge insgesamt: 12
Erste → letzte: 09.2022 07.2026
Ohne Fix: 1
In Angriffen ausgenutzt: 0

Verteilung nach Schweregrad

Kritisch 5
Hoch 3
Mittel 2
Nicht bewertet 2

Veröffentlichungen pro Jahr

2022: 2
2023: 3
2024: 1
2025: 3
2026: 3

06.07.2026

Uncontrolled Resource Consumption vulnerability in Apache IoTDB.

Hoch · 7.5 CVE-2026-24012 >= 1.3.3, < 2.0.8 2.0.8
06.07.2026

Apache IoTDB DataNode’s internal RPC interface for creating Trigger instances uses the uploaded Trigger JAR name to build a file path without sufficient validation. If the internal DataNode RPC port i

Kritisch · 9.8 CVE-2026-24014 >= 1.3.3, < 2.0.8 2.0.8
06.07.2026

Authentication Bypass by Spoofing vulnerability in Apache IoTDB. dieser Eintrag

Kritisch · 9.1 CVE-2026-24013 >= 1.3.3, < 2.0.8 2.0.8
14.05.2025

Remote Code Execution with untrusted URI of UDF vulnerability in Apache IoTDB. The attacker who has privilege to create UDF can register malicious function from untrusted URI.

Kritisch · 9.8 CVE-2024-24780 >= 1.0.0, < 1.3.4 1.3.4
15.01.2024

Remote Code Execution vulnerability in Apache IoTDB.This issue affects Apache IoTDB: from 1.0.0 through 1.2.2.

Kritisch · 9.8 CVE-2023-46226 >= 1.0.0, < 1.3.0 1.3.0
17.04.2023

Improper Authentication vulnerability in Apache Software Foundation Apache IoTDB.This issue affects Apache IoTDB Grafana Connector: from 0.13.0 through 0.13.3.

Kritisch · 9.8 CVE-2023-24831 >= 0.13.0, < 0.13.5 0.13.5
26.10.2022

Apache IoTDB version 0.12.2 to 0.12.6, 0.13.0 to 0.13.2 are vulnerable to a Denial of Service attack when accepting untrusted patterns for REGEXP queries with Java 8. Users should upgrade to 0.13.3 wh

Hoch · 7.5 CVE-2022-43766 >= 0.12.2, < 0.13.3 0.13.3
05.09.2022

Apache IoTDB version 0.13.0 is vulnerable by session id attack. Users should upgrade to version 0.13.1 which addresses this issue.

Hoch · 8.8 CVE-2022-38369 < 0.13.1 0.13.1

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden