CVE-2026-71235
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
Silnik reguł Magistrala pozwala uwierzytelnionym użytkownikom tworzyć reguły z osadzonymi skryptami Go lub Lua, które są wykonywane po stronie serwera po otrzymaniu wiadomości IoT. Silnik Lua (re/lua.go) nie przeprowadza żadnej walidacji danych wejściowych i wstępnie ładuje niebezpieczne biblioteki: db (dowolny dostęp do bazy), ioutil (operacje na plikach), klient HTTP (SSRF) i filepath (traversal).
Ocena ryzyka
Atakujący może wykonywać dowolny kod na serwerze, uzyskać dostęp do bazy danych, odczytywać pliki lub przeprowadzać ataki SSRF, co może prowadzić do pełnej kompromitacji systemu.
Rekomendacja
Należy ograniczyć dostęp do tworzenia reguł, wdrożyć walidację skryptów oraz usunąć niebezpieczne biblioteki z środowiska wykonawczego Lua.
Inne podatności w Magistrala
Zobacz wszystkie- CVE-2026-111684Wysokie
Magistrala do wersji 1.0.0 zawiera lukę obejścia autoryzacji, która pozwala uwierzytelnionym członkom workspace na przeglądanie, wystawianie i unieważnianie certyfikatów urządzeń innych tenantów poprzez podanie obcych numerów seryjnych lub identyfikatorów encji. Atakujący może wywołać RevokeBySerial, RevokeAll, ViewCert, ListCerts lub IssueCert w ścieżce własnego workspace, aby odłączyć urządzenia innych tenantów, ujawnić certyfikaty i wygenerować certyfikaty podpisane przez CA dla swoich identyfikatorów urządzeń.
- CVE-2026-82028Wysokie
Magistrala przed wersją 1.0.0 zawiera podatność na wstrzyknięcie SQL w usługach HTTP timescale-reader i postgres-reader, umożliwiającą uwierzytelnionym atakującym wstrzyknięcie dowolnego SQL przez parametr format.
- CVE-2026-71276Wysokie
API czytników wiadomości w Magistrala (dawniej Mainflux) odczytuje wartość z ciągu zapytania HTTP (readers/api/http/transport.go) bez walidacji i interpoluje ją bezpośrednio do surowych zapytań SQL za pomocą fmt.Sprintf zarówno w czytniku PostgreSQL (readers/postgres/messages.go: ), jak i w czytniku TimescaleDB (readers/timescale/messages.go, ten sam wzorzec), umożliwiając wstrzyknięcie SQL przez każdego uwierzytelnionego użytkownika, który może odpytywać wiadomości kanału.
Oryginalny opis (angielski, źródło NVD)
Magistrala's Rules Engine allows authenticated users to create rules with embedded Go or Lua scripts executed server-side when IoT messages arrive. The Lua script engine (re/lua.go) performs no input validation at all and preloads dangerous libraries: db (arbitrary database access), ioutil (file I/O), an HTTP client (SSRF), and filepath (traversal).
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS