FastBee IoT平台IDOR漏洞(CWE-639)：任意设备读取与所有权篡改

CVE-2026-110124: FastBee IoT platform: device read and write endpoints trust a caller-supplied deviceId with no owner check, so any device-role account can read and modify another owner's device 漏洞概述 FastBee是一个多用户IoT平台。其管理端和Web REST接口使用Spring Security和Ruoyi风格的权限注解。平台预置了低信任度的设备角色，其中角色3（general）被文档化为设备端用户，只能管理自己的设备和组；角色2（tenant）管理租户内的设备。 四个设备端点（ ）仅强制执行粗粒度权限（登录账户持有 或 ）。它们从不检查请求命名的设备是否属于调用者。其中三个读取设备通过 或 ，一个更新设备通过 。服务方法将调用者提供的标识符直接传递给MyBatis映射器，映射器SQL仅按 或 过滤。返回记录包括设备物理位置（ , ）、设备网络IP、序列号和存储的thing-model值。更新路径从请求体写入 和 ，因此调用者可以重新分配任何设备到自己账户。 该边界被打破的原因是同一代码库在其他地方强制执行。每个设备列表方法将通用或租户调用者限制到他们自己的行，并且同类的删除方法明确拒绝让通用用户删除他们不拥有的设备。按ID读取、按序列号读取、运行状态读取和更新点是差距。预置的（general）账户，最低设备管理角色，默认种子，可以访问所有四个并操作任何用户或租户拥有的设备，通过迭代数字 。 影响范围 受影响版本: v1.2.1 (官方最新发布, commit )。相同的未受保护代码存在于开发分支行上，标签v2.1.0，commit 。更早版本未单独隔离。 漏洞类型: CWE-639 Authorization Bypass Through User-Controlled Key (IDOR), CWE-862 Missing Authorization 组件: wumei-iot/DeviceController 严重性: High 状态: 协调披露进行中，通过VulnCheck。尚未分配CVE。 修复方案 1. 读端点需要更细粒度的权限: 当前读端点仅检查 ，无法知道请求命名的设备属于谁，因此不执行每对象授权。 和 直接从URL路径到达。 2. 读服务方法转发键而无所有者过滤器: 服务方法 、 和 直接将标识符传递给映射器，不检查当前用户，因此无法限制调用者的自有设备。 3. 映射器仅按键选择: 映射器SQL仅按 或 过滤，没有 或 谓词，因此查询返回匹配行，无论谁拥有它。 4. 同一类范围每个列表方法和按所有者删除方法: 列表方法读取调用者角色并设置 或 过滤器，删除路径执行显式每对象所有者检查。但读端点缺少这些检查。 5. 更新端点写入任何用户的设备并可以重新分配所有权: 更新端点从请求体加载旧设备并按ID更新，无所有者检查。更新映射器写入 和 ，无论请求提供什么。调用者提供受害者 连同自己的 可以重新分配设备给自己。设备随后离开受害者所有者范围列表并出现在攻击者列表中。调用者还可以覆盖 、 、 、 和 在任何设备上。 6. 可达性：默认种子赋予最低设备角色这些权限: 种子 授予角色3（general）设备查询和编辑权限。 POC代码

目标达成感谢每一位支持者 — 我们达成了 100% 目标！

FastBee IoT平台IDOR漏洞(CWE-639)：任意设备读取与所有权篡改

同源更多文章

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

FastBee IoT平台IDOR漏洞(CWE-639)：任意设备读取与所有权篡改

同源更多文章

目标达成感谢每一位支持者 — 我们达成了 100% 目标！