CVE-2026-71278 in rust-iot-platform
Zusammenfassung
von VulDB • 06.08.2026
rust-iot-platform ermöglicht das Erstellen einer „calc rule“ über POST /calc-rule/create (api/src/controller/calc_rule_router.rs), die ein beliebiges `script`-Feld enthält. Diese Route verwendet nicht den an anderer Stelle in der Anwendung eingesetzten AuthToken-Anforderungswächter (AuthToken request guard), wodurch sie ohne Authentifizierung erreichbar ist. Das gespeicherte Skript wird anschließend über quick_js::Context::eval() in api/src/biz/calc_run_biz.rs ohne Sandboxing ausgeführt, was einem nicht authentifizierten Angreifer ermöglicht, durch das Erstellen und Auslösen einer bösartigen calc rule eine beliebige JavaScript-Ausführung im Serverprozess zu erreichen.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.