CVE-2026-82453
WysokieCVSS 7.5Streszczenie
rust-iot-platform do commitu 5df942ab przechowuje hasła użytkowników w postaci jawnego tekstu bez haszowania w modelu użytkownika. Atakujący mogą odczytać odpowiedzi API z tras pobierania i listowania użytkowników, aby uzyskać poświadczenia w postaci jawnego tekstu dla wszystkich kont.
Ocena ryzyka
Ujawnienie haseł w postaci jawnego tekstu może prowadzić do przejęcia kont użytkowników i naruszenia poufności danych.
Rekomendacja
Zaimplementuj haszowanie haseł (np. bcrypt) i nie zwracaj haseł w odpowiedziach API; zaktualizuj platformę do wersji z poprawką.
Inne podatności w rust-iot-platform
Zobacz wszystkie- CVE-2026-82452Krytyczne
rust-iot-platform do commita 5df942ab zawiera podatność na ominięcie uwierzytelniania, gdzie większość tras API REST nie ma zabezpieczeń uwierzytelniających w sygnaturach handlerów. Nieuwierzytelnieni atakujący mogą tworzyć, aktualizować, listować, pobierać i usuwać konta użytkowników, bezpośrednio uzyskując dostęp do niezabezpieczonych endpointów bez podawania prawidłowych poświadczeń.
- CVE-2026-71278Krytyczne
rust-iot-platform umożliwia tworzenie 'calc rule' przez POST /calc-rule/create (api/src/controller/calc_rule_router.rs) z dowolnym polem. Ta trasa nie korzysta z zabezpieczenia AuthToken, które jest używane w innych miejscach aplikacji, co czyni ją dostępną bez uwierzytelnienia.
- CVE-2026-71277Krytyczne
W rust-iot-platform, implementacja guarda żądań AuthToken (api/src/main.rs) sprawdza tylko, czy nagłówek Authorization jest obecny, i nigdy nie weryfikuje jego wartości względem żadnej sesji, magazynu tokenów ani podpisu. Każde żądanie z dowolnym niepustym nagłówkiem Authorization (np. ) spełnia guard, dając dostęp do każdego endpointu chronionego tylko tym guardem.
Oryginalny opis (angielski, źródło NVD)
rust-iot-platform through commit 5df942ab stores user passwords in cleartext without hashing in the user model. Attackers can read API responses from user retrieval and listing routes to obtain plaintext credentials for all accounts.