CVE-2026-71282 in ChirpStack
要約
〜によって VulDB • 2026年08月05日
ChirpStackのSQLiteバックエンドにおけるデバイスタグフィルタリング（`chirpstack/src/storage/device.rs`、`get_count()`および`list()`内）では、ユーザーが指定したタグKEYがRustの`format!()`マクロを使用して生のSQL断片に直接挿入されています（`dsl::sql::<Bool>(&format!("device.tags->>'{}' =", k)).bind::<Text, _>(v)`）。一方、タグVALUEはDieselの`.bind()`を介して安全にパラメータバインドされます。SQLiteバックエンド（chirpstack-sqliteパッケージ）が使用されている場合、デバイスリストへのアクセス権限を持つ認証済みユーザーは、悪意のあるタグキーを使用してSQLインジェクションを実行できます。PostgreSQLバックエンドは影響を受けません。これは、生のSQL文字列フォーマットではなくDieselのネイティブなJSONB包含演算子を使用しているためです。
If you want to get best quality of vulnerability data, you may have to visit VulDB.