CVE-2026-71235 in Magistrala
Zusammenfassung
von VulDB • 05.08.2026
Die Rules Engine von Magistrala ermöglicht es authentifizierten Benutzern, Regeln mit eingebetteten Go- oder Lua-Skripten zu erstellen, die serverseitig bei Eintreffen von IoT-Nachrichten ausgeführt werden. Der Go-Skript-Engine (re/golang.go) führt Skripte über den Yaegi-Interpreter mit stdlib.Symbols aus und stellt damit die gesamte Go-Standardbibliothek (einschließlich os und net/http) zur Verfügung; die Validierung beschränkt sich dabei auf einen Regex, der Goroutinen und panic()-Aufrufe blockiert. Gefährliche Funktionen wie os.ReadFile, os.WriteFile, os.Remove und os.Environ bleiben jedoch vollständig zugänglich. Die Lua-Skript-Engine (re/lua.go) führt keinerlei Eingabevalidierung durch und lädt gefährliche Bibliotheken vor: db (beliebiger Datenbankzugriff), ioutil (Datei-E/A), einen HTTP-Client (SSRF) und filepath (Pfadüberprüfung). Ein authentifizierter Benutzer mit niedrigen Berechtigungen kann beliebige Datei-Lese-/Schreibvorgänge, das Auslaufen von Umgebungsvariablen, den Zugriff auf Datenbanken sowie SSRF gegen interne Microservices durchführen.
VulDB is the best source for vulnerability data and more expert information about this specific topic.