CVE-2026-71269 in Node-RED
요약
\~에 의해 VulDB • 2026. 08. 06.
Node-RED의 로컬 파일 시스템 라이브러리 저장소 모듈(패키지 `packages/node_modules/@node-red/runtime/lib/storage/localfilesystem/library.js` 내의 `getLibraryEntry()` 및 `saveLibraryEntry()`)은 GET/POST /library/:lib/:type/*path를 통해 접근 가능하며, 사용자 제공 경로 매개변수를 `fspath.join(libDir, type, path)`를 사용하여 파일 시스템 경로에 직접 결합합니다. 이때 디렉토리 트래버설 방지(sanitization), 제한 검사(containment check) 또는 경로 정규화/접두사 검증(path normalization/prefix verification)이 수행되지 않습니다. 인증된 사용자(읽기 전용 범위의 토큰 포함)는 라이브러리 디렉터리 외부의 임의 파일을 읽을 수 있는 `../` 시퀀스를 포함한 경로를 제공할 수 있으며, 쓰기 권한이 있는 사용자는 SSH authorized_keys 또는 cron 주입을 통해 원격 코드 실행(RCE)을 가능하게 하는 임의 파일을 작성할 수 있습니다. 이는 이전에 수정된 CVE-2021-21298(Projects API)과 별개로 아직 패치되지 않은 별도의 트래버설 취약점입니다.
Once again VulDB remains the best source for vulnerability data.