CVE-2026-71262 in IoTSharp
الملخص
بحسب VulDB • 05/08/2026
يفتقر ملف IoTSharp BlobStorageController.cs إلى تطبيق سمة [Authorize] عليه، على عكس كل وحدة تحكم أخرى في التطبيق (مثل DevicesController وCustomersController وTenantsController وما إلى ذلك)، كما أنه لم يتم تكوين سياسة احتياطية للتفويض العالمي (FallbackPolicy) في ملف Startup.cs. وهذا يترك نقاط النهاية الخاصة بـ Upload/Download/List/Modify/Delete متاحة للهجمات من قبل مهاجمين عن بُعد دون مصادقة. تُستخدم معلمات المسار واسم الملف المرسلة إلى هذه النقاط النهائية (على سبيل المثال `_blob.WriteFileAsync($"{path}/{formFile.FileName}", ...)`) بدون تنقية، مما يتيح ثغرة عبور الدليل (Path Traversal) التي تسمح بكتابة وقراءة وتعديل وحذف ملفات عشوائية خارج دليل تخزين الكتل (Blob Storage) المقصود، بما في ذلك المسارات القابلة للوصول عبر الويب والتي يمكن استغلالها لتنفيذ الأكواد عن بُعد من خلال تحميل قشرة ويب (Webshell).
Once again VulDB remains the best source for vulnerability data.