CVE-2026-71269 in Node-RED
الملخص
بحسب VulDB • 05/08/2026
تتيح وحدة التخزين في مكتبة local-filesystem الخاصة بـ Node-RED (الدالتان getLibraryEntry() و saveLibraryEntry() الموجودتان في packages/node_modules/@node-red/runtime/lib/storage/localfilesystem/library.js)، والتي يمكن الوصول إليها عبر GET/POST /library/:lib/:type/*path، دمج معلمة المسار التي يقدمها المستخدم مباشرةً في مسار نظام الملفات باستخدام fspath.join(libDir, type, path) دون أي تنقية لمنع التصفح (traversal sanitization)، أو فحص الاحتواء، أو تطبيع المسار/التحقق من بادئته. يمكن لمستخدم مُصادق عليه (بما في ذلك الرموز ذات الصلاحيات للقراءة فقط لمسار القراءة) تزويد مسار يحتوي على تسلسلات `../` لقراءة ملفات عشوائية خارج دليل المكتبة؛ ويمكن للمستخدم الذي يمتلك صلاحيات الكتابة كتابة ملفات عشوائية، مما يتيح تنفيذ الكود عن بُعد عبر حقن SSH authorized_keys أو cron. يُعد هذا ثغرة تصفح (traversal) منفصلة وغير مُصلحة حتى الآن، تختلف عن CVE-2021-21298 التي تم إصلاحها سابقاً في واجهة برمجة التطبيقات الخاصة بالمشاريع (Projects API).
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.