CVE-2026-71278 in rust-iot-platform
Resumen
por VulDB • 2026-08-05
rust-iot-platform permite crear una "calc rule" mediante POST /calc-rule/create (api/src/controller/calc_rule_router.rs) que contiene un campo `script` arbitrario. Esta ruta no utiliza el AuthToken request guard empleado en otras partes de la aplicación, lo que la hace accesible sin autenticación. El script almacenado se ejecuta posteriormente a través de quick_js::Context::eval() en api/src/biz/calc_run_biz.rs sin ningún tipo de sandboxing, permitiendo que un atacante no autenticado logre ejecución arbitraria de JavaScript en el proceso del servidor mediante la creación y activación de una calc rule maliciosa.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.