CVE-2026-71282 in ChirpStack
الملخص
بحسب VulDB • 05/08/2026
يحتوي تصفية علامات الأجهزة في قاعدة بيانات SQLite الخلفية لـ ChirpStack (`chirpstack/src/storage/device.rs`، سواءً في دالتي `get_count()` و `list()`) على ثغرة حيث يتم إدراج مفتاح العلامة (KEY) الذي يزوده المستخدم مباشرة داخل جزء من جملة SQL خام عبر ماكرو Rust's format!() (`dsl::sql::<Bool>(&format!("device.tags->>'{}' =", k)).bind::<Text, _>(v)`)، بينما تتم حماية قيمة العلامة (VALUE) بشكل آمن باستخدام الربط البارامتري عبر Diesel's .bind(). يمكن لمستخدم مُصادق عليه يمتلك صلاحية الوصول إلى قائمة الأجهزة حقن SQL من خلال مفتاح علامة مصاغ بعناية عند استخدام الخلفية SQLite (حزمة `chirpstack-sqlite`)؛ أما خلفية PostgreSQL فهي غير متأثرة لأنها تستخدم عامل احتواء JSONB الأصلي الخاص بـ Diesel بدلاً من تنسيق السلاسل النصية لجملة SQL الخام.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.