FICHE CVE

CVE-2026-40008

Publiée le 2026-07-10 · Dernière modification le 2026-10-25

🇫🇷 EN BREF

Apache IoTDB (versions 1.0.0 à 2.0.9) est affecté par une faille qui permet à un attaquant de forcer le serveur à charger et à exécuter des classes Java arbitraires. Un attaquant distant peut utiliser cette vulnérabilité pour prendre le contrôle total du système, notamment pour lire, modifier ou supprimer des données. Cette exploitation est facile à réaliser car elle ne nécessite ni authentification, ni interaction de l'utilisateur, et peut être déclenchée via le réseau.

CVSS 3.19.8 CRITIQUE

Type de faiblesse

CWE-470

Publiée2026-07-10

Dernière modification2026-10-25

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

Description officielle du NVD (en anglais)

Use of Externally-Controlled Input to Select Classes or Code ('Unsafe Reflection') vulnerability in Apache IoTDB. The pipe processor reads a fully qualified Java class name and instantiates it using Class.forName().newInstance() without any validation or allowlisting. This issue affects Apache IoTDB: from 1.0.0 before 2.0.10. Users are recommended to upgrade to version 2.0.10, which fixes the issue.