Crítica

Authentication Bypass by Spoofing vulnerability in Apache IoTDB.

Publicada: 06.07.2026
Actualizado: 11.10.2026 13:19

Authentication Bypass by Spoofing vulnerability in Apache IoTDB. Certain Thrift RPC query handlers lack strict validation of the sessionId parameter. An attacker can construct requests with a forged sessionId and, without performing openSession authentication, receive valid query results. This allows authentication bypass and unauthorized reading of time-series data.

This issue affects Apache IoTDB: from 1.3.3 before 2.0.8.

Users are recommended to upgrade to version 2.0.8, which fixes the issue.

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

Plataforma	Paquete	Versiones vulnerables	Corregida en
Python (PyPI)	apache-iotdb	>= 1.3.3, < 2.0.8	2.0.8

Referencias

Puntuación CVSS 9.1/10

Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
Debilidad (CWE): -
Plataforma: Python (PyPI)
Paquete: apache-iotdb
Publicada: 06.07.2026
Actualizado: 11.10.2026 13:19

Fuentes y licencias

OSV / GitHub Advisory Database - PYSEC-2026-2080 - PyPA Advisory Database; CC BY 4.0

Historial de vulnerabilidades: apache-iotdb

Todas las vulnerabilidades publicadas de este paquete (Python (PyPI)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Todas (12) en el archivo

Entradas en total: 12
Primera → última: 09.2022 07.2026
Sin corrección: 1
Explotada en ataques: 0

Distribución por gravedad

Crítica 5
Alta 3
Media 2
Sin evaluar 2

Divulgaciones por año

2022: 2
2023: 3
2024: 1
2025: 3
2026: 3

06.07.2026

Uncontrolled Resource Consumption vulnerability in Apache IoTDB.

Alta · 7.5 CVE-2026-24012 >= 1.3.3, < 2.0.8 2.0.8
06.07.2026

Apache IoTDB DataNode’s internal RPC interface for creating Trigger instances uses the uploaded Trigger JAR name to build a file path without sufficient validation. If the internal DataNode RPC port i

Crítica · 9.8 CVE-2026-24014 >= 1.3.3, < 2.0.8 2.0.8
06.07.2026

Authentication Bypass by Spoofing vulnerability in Apache IoTDB. esta entrada

Crítica · 9.1 CVE-2026-24013 >= 1.3.3, < 2.0.8 2.0.8
14.05.2025

Remote Code Execution with untrusted URI of UDF vulnerability in Apache IoTDB. The attacker who has privilege to create UDF can register malicious function from untrusted URI.

Crítica · 9.8 CVE-2024-24780 >= 1.0.0, < 1.3.4 1.3.4
15.01.2024

Remote Code Execution vulnerability in Apache IoTDB.This issue affects Apache IoTDB: from 1.0.0 through 1.2.2.

Crítica · 9.8 CVE-2023-46226 >= 1.0.0, < 1.3.0 1.3.0
17.04.2023

Improper Authentication vulnerability in Apache Software Foundation Apache IoTDB.This issue affects Apache IoTDB Grafana Connector: from 0.13.0 through 0.13.3.

Crítica · 9.8 CVE-2023-24831 >= 0.13.0, < 0.13.5 0.13.5
26.10.2022

Apache IoTDB version 0.12.2 to 0.12.6, 0.13.0 to 0.13.2 are vulnerable to a Denial of Service attack when accepting untrusted patterns for REGEXP queries with Java 8. Users should upgrade to 0.13.3 wh

Alta · 7.5 CVE-2022-43766 >= 0.12.2, < 0.13.3 0.13.3
05.09.2022

Apache IoTDB version 0.13.0 is vulnerable by session id attack. Users should upgrade to version 0.13.1 which addresses this issue.

Alta · 8.8 CVE-2022-38369 < 0.13.1 0.13.1

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación