Krytyczna

Authentication Bypass by Spoofing vulnerability in Apache IoTDB.

Ujawniono: 06.07.2026
Aktualizacja: 11.10.2026 13:19

Authentication Bypass by Spoofing vulnerability in Apache IoTDB. Certain Thrift RPC query handlers lack strict validation of the sessionId parameter. An attacker can construct requests with a forged sessionId and, without performing openSession authentication, receive valid query results. This allows authentication bypass and unauthorized reading of time-series data.

This issue affects Apache IoTDB: from 1.3.3 before 2.0.8.

Users are recommended to upgrade to version 2.0.8, which fixes the issue.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

Platforma	Paczka	Podatne wersje	Poprawka w wersji
Python (PyPI)	apache-iotdb	>= 1.3.3, < 2.0.8	2.0.8

Odnośniki

Ocena CVSS 9.1/10

Wektor CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
Słabość (CWE): -
Platforma: Python (PyPI)
Paczka: apache-iotdb
Ujawniono: 06.07.2026
Aktualizacja: 11.10.2026 13:19

Źródła i licencje

OSV / GitHub Advisory Database - PYSEC-2026-2080 - PyPA Advisory Database; CC BY 4.0

Historia podatności: apache-iotdb

Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (12) w archiwum

Wszystkich wpisów: 12
Pierwsza → ostatnia: 09.2022 07.2026
Bez poprawki: 1
Wykorzystywana w atakach: 0

Rozkład istotności

Krytyczna 5
Wysoka 3
Średnia 2
Nieoceniona 2

Ujawnienia w latach

2022: 2
2023: 3
2024: 1
2025: 3
2026: 3

06.07.2026

Uncontrolled Resource Consumption vulnerability in Apache IoTDB.

Wysoka · 7.5 CVE-2026-24012 >= 1.3.3, < 2.0.8 2.0.8
06.07.2026

Apache IoTDB DataNode’s internal RPC interface for creating Trigger instances uses the uploaded Trigger JAR name to build a file path without sufficient validation. If the internal DataNode RPC port i

Krytyczna · 9.8 CVE-2026-24014 >= 1.3.3, < 2.0.8 2.0.8
06.07.2026

Authentication Bypass by Spoofing vulnerability in Apache IoTDB. ten wpis

Krytyczna · 9.1 CVE-2026-24013 >= 1.3.3, < 2.0.8 2.0.8
14.05.2025

Remote Code Execution with untrusted URI of UDF vulnerability in Apache IoTDB. The attacker who has privilege to create UDF can register malicious function from untrusted URI.

Krytyczna · 9.8 CVE-2024-24780 >= 1.0.0, < 1.3.4 1.3.4
15.01.2024

Remote Code Execution vulnerability in Apache IoTDB.This issue affects Apache IoTDB: from 1.0.0 through 1.2.2.

Krytyczna · 9.8 CVE-2023-46226 >= 1.0.0, < 1.3.0 1.3.0
17.04.2023

Improper Authentication vulnerability in Apache Software Foundation Apache IoTDB.This issue affects Apache IoTDB Grafana Connector: from 0.13.0 through 0.13.3.

Krytyczna · 9.8 CVE-2023-24831 >= 0.13.0, < 0.13.5 0.13.5
26.10.2022

Apache IoTDB version 0.12.2 to 0.12.6, 0.13.0 to 0.13.2 are vulnerable to a Denial of Service attack when accepting untrusted patterns for REGEXP queries with Java 8. Users should upgrade to 0.13.3 wh

Wysoka · 7.5 CVE-2022-43766 >= 0.12.2, < 0.13.3 0.13.3
05.09.2022

Apache IoTDB version 0.13.0 is vulnerable by session id attack. Users should upgrade to version 0.13.1 which addresses this issue.

Wysoka · 8.8 CVE-2022-38369 < 0.13.1 0.13.1

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację