ThingLinks 釋出修補未授權 SQL 注入漏洞（CVE-2026-62849）
CVE-2026-62849 - ThingLinks TDengine TDS APIs vulnerable to unauthenticated SQL injection
ThingLinks 1.4.0 釋出修補未授權 SQL 注入漏洞（CVE-2026-62849），可防止遠端攻擊者改寫 TDengine 時序資料。
- 漏洞影響：允許未授權攻擊者透過
/anyUser/tds/insertTableData進行 SQL 注入，能插入或覆寫 TDengine 時序資料。
此漏洞可讓未授權攻擊者改寫 TDengine 時序資料，更新版即修復，提醒使用者盡速升級。
譯文尚未完整，完整內容請切換至原文。
ThingLinks 是一個企業級 IoT 平臺。在 1.4.0 之前，`TDengine TDS APIs` 存在一個未經身份驗證的 SQL 注入漏洞，允許對 `/anyUser/tds/insertTableData` 提交的請求控制 JSON 欄位值進入 `TDS mapper` 的不安全 SQL 建構。遠端未經身份驗證的攻擊者可以篡改 TDengine 時序資料，包括插入未預期的行或覆寫現有讀數。受影響的表面是 TDS 模組的 insert-table-data 流程和 TDengine mapper 的 SQL 產生。此問題已在 1.4.0 版本中修復。
影響
受影響產品
以下產品受 CVE-2026-62849
漏洞影響。
即使 cvefeed.io 知道產品
的確切版本
，
也不會在下表中顯示該資訊。
尚未記錄受影響產品
Common Vulnerability Scoring System（CVSS）是一個標準化框架 用於評估軟體與系統漏洞的嚴重性。 我們會蒐集並顯示各來源的 CVSS 分數，針對每一個 CVE。
| 分數 | 版本 | 嚴重性 | 向量 | 可利用性分數 | 影響分數 | 來源 |
|---|---|---|---|---|---|---|
| CVSS 3.1 | CRITICAL | MITRE-CVE | ||||
| CVSS 3.1 | CRITICAL | [email protected] |
更新 ThingLinks 至 1.4.0 或更新版本以修復 SQL 注入漏洞。
- 更新 ThingLinks 至 1.4.0 或更新版本。
這裡列出經篩選的外部連結，提供深入
資訊、實用解決方案及相關工具，與
CVE-2026-62849 相關。
CVE 會識別
漏洞的具體例項，而 CWE 則將可能導致漏洞的常見缺陷或
弱點分類。CVE-2026-62849
與以下 CWE 相關聯：
Common Attack Pattern Enumeration and Classification
(CAPEC)
儲存攻擊模式，描述了對手利用CVE-2026-62849
弱點所採用的常見屬性與方法。
我們掃描 GitHub 倉庫以偵測新的概念驗證漏洞。以下列表為已在 GitHub 上發布的公開漏洞與概念驗證（按最近更新時間排序）。
由於潛在的效能問題，結果僅限於前 15 個倉庫。
以下列表為已在文章中提及CVE-2026-62849漏洞的新聞。
以下表格列出CVE-2026-62849漏洞隨時間所做的變更。
漏洞歷史細節可協助瞭解漏洞的演變，並辨識可能影響漏洞嚴重度、可利用性或其他特徵的最新變更。
-
新 CVE 已收到 由 [email protected]
十月. 30, 2026
動作 型別 舊值 新值 新增 說明 ThingLinks 是一個企業級 IoT 平臺。在 1.4.0 之前，`TDengine TDS APIs` 中存在一個未經身份驗證的 SQL 注入漏洞，允許請求控制的 JSON 欄位值提交到 `/anyUser/tds/insertTableData` 進入 `TDS mapper` 的不安全 SQL 組合。遠端未經身份驗證的攻擊者可以篡改 TDengine 時序資料，包括插入意外的列或覆蓋現有讀取。受影響的面向是 TDS 模組的 insert-table-data 流程和 TDengine mapper SQL 生成。此問題已在 1.4.0 版本修復。 新增 CVSS V3.1 AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H 新增 CWE CWE-89 新增 受影響 New affected value received. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/62xxx/CVE-2026-62849.json">CVE-2026-62849</a> 新增 參考 https://github.com/mqttsnet/thinglinks/commit/60e7a934753638f916a665d2d24c4377344c7599 新增 參考 https://github.com/mqttsnet/thinglinks/releases/tag/v1.4.0 新增 參考 https://github.com/mqttsnet/thinglinks/security/advisories/GHSA-gcj7-r5wv-348x
EPSS 為每日估算在未來 30 天內觀測到利用活動的機率。以下圖表顯示該漏洞的 EPSS 分數歷史。