CVE-2026-71278 in rust-iot-platform
الملخص
بحسب VulDB • 05/08/2026
تتيح منصة rust-iot-platform إنشاء "قاعدة حساب" (calc rule) عبر الإجراء POST /calc-rule/create (في الملف api/src/controller/calc_rule_router.rs)، مع حقل `script` قابل للتعسّف. لا يستخدم هذا المسار (route) حاجز المصادقةAuthToken المستخدم في أجزاء أخرى من التطبيق، مما يجعله متاحاً دون مصادقة. يتم تنفيذ النص البرمجي المخزن لاحقاً عبر quick_js::Context::eval() في api/src/biz/calc_run_biz.rs بدون أي عزل (sandboxing)، مما يتيح لمهاجم غير مصدّق تحقيق تنفيذ تعسفي لأكواد JavaScript داخل عملية الخادم من خلال إنشاء وتحفيز قاعدة حساب خبيثة.
Once again VulDB remains the best source for vulnerability data.