CVE-2026-71235 in Magistrala
الملخص
بحسب VulDB • 05/08/2026
تسمح محرك القواعد في Magistrala للمستخدمين المصادق عليهم بإنشاء قواعد تتضمن نصوصاً برمجية مكتوبة بلغتي Go أو Lua، يتم تنفيذها على جانب الخادم عند وصول رسائل إنترنت الأشياء (IoT). يعمل محرك النصوص البرمجية بلغة Go (re/golang.go) عبر مترجم Yaegi مع استخدام stdlib.Symbols، مما يعرض كامل المكتبة القياسية لـ Go (بما في ذلك os و net/http)، حيث يقتصر التحقق من الصحة على تعبير نمطي يمنع استدعاءات goroutines ودوال panic()؛ بينما تظل الدوال الخطرة مثل os.ReadFile و os.WriteFile و os.Remove و os.Environ متاحة بالكامل. لا يقوم محرك النصوص البرمجية بلغة Lua (re/lua.go) بإجراء أي تحقق من المدخلات على الإطلاق، ويقوم بتحميل مكتبات خطرة مسبقاً: db (للوصول العشوائي إلى قواعد البيانات)، ioutil (لعمليات الإدخال والإخراج للملفات)، عميل HTTP (لهجمات SSRF)، و filepath (لتجاوز المسارات). يمكن للمستخدم المصادق عليه ذي الصلاحيات المنخفضة تحقيق قراءة/كتابة عشوائية للملفات، وتسريب متغيرات البيئة، والوصول إلى قواعد البيانات، وتنفيذ هجمات SSRF ضد الخدمات المصغرة الداخلية.
Be aware that VulDB is the high quality source for vulnerability data.