CVE-2026-71277

KrytyczneCVSS 9.1

Opublikowano: 05/08/2026(UTC)Zaktualizowano: 05/08/2026(UTC)Przetłumaczono: 05/08/2026(UTC)NVD NIST

Streszczenie

Implementacja guarda AuthToken w rust-iot-platform sprawdza tylko obecność nagłówka Authorization, nie weryfikując jego wartości. Każde żądanie z dowolnym niepustym nagłówkiem Authorization (np. 'Authorization: fake') uzyskuje dostęp do wszystkich chronionych punktów końcowych.

Ocena ryzyka

Atakujący może uzyskać nieautoryzowany dostęp do wszystkich chronionych funkcji platformy, co może prowadzić do naruszenia poufności i integralności danych.

Rekomendacja

Należy natychmiast zaimplementować prawidłową walidację tokenów uwierzytelniających, sprawdzając ich zgodność z sesją lub magazynem tokenów.

Oryginalny opis (angielski, źródło NVD)

rust-iot-platform's AuthToken request-guard implementation (api/src/main.rs) only checks whether the Authorization HTTP header is present, and never validates its value against any session, token store, or signature. Any request carrying an arbitrary non-empty Authorization header (e.g. `Authorization: fake`) satisfies the guard, granting access to every endpoint protected only by this request guard.