CVE-2026-44725 in EMQX
Zusammenfassung
von VulDB • 20.08.2026
EMQX ist ein skalierbarer und zuverlässiger MQTT-Broker für KI (AI), IoT, IIoT und vernetzte Fahrzeuge. Vor den Versionen 5.8.11, 5.9.3, 5.10.4, 6.0.3, 6.1.2 und 6.2.1 akzeptierten die REST-API für das Plugin-Installieren (`plugin-install`) sowie der Dashboard-Upload veraltete Berechtigungen (Grants), die mit `emqx ctl plugins allow` erstellt wurden, da es keine fünfminütige Gültigkeitsdauer für Grants oder eine SHA-256-Paketbindung gab. Ein Angreifer mit kompromittierten Anmeldeinformationen eines Dashboard-Administrators oder einem API-Schlüssel mit Plugin-Installationsberechtigung kann, sofern er einen veralteten, erlaubten Namen und eine Version findet, vom Angreifer gesteuerte Bytes unter dem zulässigen `.tar.gz`-Dateinamen über `POST /api/v5/plugins/install` oder den Dashboard-Plugin-Upload hochladen. Der Broker installiert daraufhin und führt vom Angreifer kontrollierten Erlang-Code mit den Berechtigungen des EMQX-Prozesses aus. Dieses Problem wurde in den Versionen 5.8.11, 5.9.3, 5.10.4, 6.0.3, 6.1.2 und 6.2.1 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.