CVE-2026-71276

WysokieCVSS 7.1

Opublikowano: 05/08/2026(UTC)Zaktualizowano: 26/08/2026(UTC)Przetłumaczono: 10/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.19%

Percentyl 9 - wyżej niż 9% wszystkich znanych CVE

Streszczenie

API czytników wiadomości w Magistrala (dawniej Mainflux) odczytuje wartość z ciągu zapytania HTTP (readers/api/http/transport.go) bez walidacji i interpoluje ją bezpośrednio do surowych zapytań SQL za pomocą fmt.Sprintf zarówno w czytniku PostgreSQL (readers/postgres/messages.go: ), jak i w czytniku TimescaleDB (readers/timescale/messages.go, ten sam wzorzec), umożliwiając wstrzyknięcie SQL przez każdego uwierzytelnionego użytkownika, który może odpytywać wiadomości kanału.

Ocena ryzyka

Uwierzytelniony użytkownik może wykonać dowolne zapytania SQL, co może prowadzić do nieautoryzowanego dostępu do danych, modyfikacji lub usunięcia danych w bazie danych.

Rekomendacja

Zaktualizuj Magistrala do wersji, która używa sparametryzowanych zapytań lub waliduje dane wejściowe, oraz ogranicz dostęp do API czytników tylko dla zaufanych użytkowników.

Inne podatności w Magistrala

CVE-2026-71235Wysokie
Silnik reguł Magistrala pozwala uwierzytelnionym użytkownikom tworzyć reguły z osadzonymi skryptami Go lub Lua, które są wykonywane po stronie serwera po otrzymaniu wiadomości IoT. Silnik Lua (re/lua.go) nie przeprowadza żadnej walidacji danych wejściowych i wstępnie ładuje niebezpieczne biblioteki: db (dowolny dostęp do bazy), ioutil (operacje na plikach), klient HTTP (SSRF) i filepath (traversal).

Oryginalny opis (angielski, źródło NVD)

Magistrala (formerly Mainflux)'s message-readers API reads a value from the HTTP query string (readers/api/http/transport.go) with no validation and interpolates it directly into raw SQL queries via fmt.Sprintf in both the PostgreSQL reader (readers/postgres/messages.go: ) and the TimescaleDB reader (readers/timescale/messages.go, same pattern), enabling SQL injection by any authenticated user able to query channel messages.