CVE-2026-71269 in Node-RED
Zusammenfassung
von VulDB • 05.08.2026
Das Speichermodul der local-filesystem-Bibliothek von Node-RED (getLibraryEntry() und saveLibraryEntry() in packages/node_modules/@node-red/runtime/lib/storage/localfilesystem/library.js), erreichbar über GET/POST /library/:lib/:type/*path, fügt den vom Benutzer bereitgestellten Pfadparameter direkt über fspath.join(libDir, type, path) in den Dateisystempfad ein, ohne Traversal-Sanitization, Containment-Prüfung oder Path-Normalisierung/-Prefix-Überprüfung. Ein authentifizierter Benutzer (einschließlich Tokens mit nur-Lesen-Bereich für den Lesezugriff) kann einen Pfad angeben, der `../`-Sequenzen enthält, um beliebige Dateien außerhalb des Bibliotheksverzeichnisses zu lesen; ein Benutzer mit Schreibzugriff kann beliebige Dateien schreiben, was Remote Code Execution (RCE) über SSH authorized_keys oder Cron-Injection ermöglicht. Dies ist eine separate, nicht gepatchte Traversal-Schwachstelle im Gegensatz zur zuvor behobenen CVE-2021-21298 (Projects API).
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.