CVE-2026-71235 in Magistrala
要約
〜によって VulDB • 2026年08月05日
MagistralaのRules Engineは、認証済みユーザーがIoTメッセージ受信時にサーバーサイドで実行されるGoまたはLuaスクリプトを組み込んだルールを作成することを可能にします。Goスクリプトエンジン（re/golang.go）はYaegiインタープリターを使用してstd.Symbols付きでスクリプトを実行し、goroutineやpanic()呼び出しをブロックする正規表現による検証のみが行われるため、osおよびnet/httpを含む完全なGo標準ライブラリが公開されます。その結果、os.ReadFile、os.WriteFile、os.Remove、os.Environなどの危険な関数は完全にアクセス可能です。Luaスクリプトエンジン（re/lua.go）は入力検証を一切行わず、db（任意のデータベースへのアクセス）、ioutil（ファイルI/O）、HTTPクライアント（SSRF）、filepath（パストラバーサル）といった危険なライブラリをプリロードします。権限の低い認証済みユーザーにより、任意のファイル読み書き、環境変数の漏洩、データベースへのアクセス、および内部マイクロサービスに対するSSRFが実現可能です。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.