Podatności Magistrala
3 znanych podatności CVE w Magistrala, przetłumaczonych i ocenionych.
- CVE-2026-82028Wysokie
Magistrala przed wersją 1.0.0 zawiera podatność na wstrzyknięcie SQL w usługach HTTP timescale-reader i postgres-reader, umożliwiającą uwierzytelnionym atakującym wstrzyknięcie dowolnego SQL przez parametr format.
- CVE-2026-71276Wysokie
API czytników wiadomości w Magistrala (dawniej Mainflux) odczytuje wartość z ciągu zapytania HTTP (readers/api/http/transport.go) bez walidacji i interpoluje ją bezpośrednio do surowych zapytań SQL za pomocą fmt.Sprintf zarówno w czytniku PostgreSQL (readers/postgres/messages.go: ), jak i w czytniku TimescaleDB (readers/timescale/messages.go, ten sam wzorzec), umożliwiając wstrzyknięcie SQL przez każdego uwierzytelnionego użytkownika, który może odpytywać wiadomości kanału.
- CVE-2026-71235Wysokie
Silnik reguł Magistrala pozwala uwierzytelnionym użytkownikom tworzyć reguły z osadzonymi skryptami Go lub Lua, które są wykonywane po stronie serwera po otrzymaniu wiadomości IoT. Silnik Lua (re/lua.go) nie przeprowadza żadnej walidacji danych wejściowych i wstępnie ładuje niebezpieczne biblioteki: db (dowolny dostęp do bazy), ioutil (operacje na plikach), klient HTTP (SSRF) i filepath (traversal).