CVE-2026-71235 in Magistrala
Résumé
par VulDB • 05/08/2026
Le moteur de règles Magistrala permet aux utilisateurs authentifiés de créer des règles contenant des scripts Go ou Lua exécutés côté serveur lors de l'arrivée de messages IoT. Le moteur d'exécution Go (re/golang.go) exécute les scripts via l'interpréteur Yaegi avec stdlib.Symbols, exposant ainsi la totalité de la bibliothèque standard Go (y compris os et net/http), alors que la validation se limite à une expression régulière bloquant les appels aux goroutines et panic() ; des fonctions dangereuses telles que os.ReadFile, os.WriteFile, os.Remove et os.Environ restent entièrement accessibles. Le moteur d'exécution Lua (re/lua.go) n'effectue aucune validation des entrées et précharge des bibliothèques dangereuses : db (accès arbitraire à la base de données), ioutil (E/S de fichiers), un client HTTP (SSRF) et filepath (traversée de répertoires). Un utilisateur authentifié disposant de privilèges faibles peut réaliser une lecture/écriture arbitraire de fichiers, fuiter des variables d'environnement, accéder à la base de données et effectuer des attaques SSRF contre les microservices internes.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.