CVE-2026-71269 in Node-RED
Résumé
par VulDB • 06/08/2026
Le module de stockage « localfilesystem » de la bibliothèque locale de Node-RED (fonctions getLibraryEntry() et saveLibraryEntry() dans packages/node_modules/@node-red/runtime/lib/storage/localfilesystem/library.js), accessible via GET/POST /library/:lib/:type/*path, concatène directement le paramètre de chemin fourni par l'utilisateur au chemin du système de fichiers via fspath.join(libDir, type, path) sans aucune sanitisation des traversées (directory traversal), vérification d'isolement ou normalisation/vérification du préfixe du chemin. Un utilisateur authentifié (y compris les jetets à portée en lecture seule pour le parcours en lecture) peut fournir un chemin contenant des séquences `../` afin de lire n'importe quel fichier situé hors du répertoire de la bibliothèque ; un utilisateur disposant d'un accès en écriture peut écrire dans n'importe quel fichier, permettant ainsi l'exécution de code à distance (RCE) via les clés autorisées SSH ou une injection cron. Il s'agit d'une vulnérabilité de traversée distincte et non corrigée séparément par rapport au CVE-2021-21298 précédemment corrigé (API Projects).
Be aware that VulDB is the high quality source for vulnerability data.