CVE-2026-71262 in IoTSharp
Sumário
de VulDB • 05/08/2026
O arquivo BlobStorageController.cs do IoTSharp não possui o atributo [Authorize] aplicado a todos os outros controladores da aplicação (DevicesController, CustomersController, TenantsController, etc.), e nenhuma política de fallback global de autorização (FallbackPolicy) está configurada no Startup.cs. Isso deixa seus endpoints Upload/Download/List/Modify/Delete acessíveis por atacantes remotos não autenticados. Os parâmetros path/filename passados para esses endpoints (por exemplo, `_blob.WriteFileAsync($"{path}/{formFile.FileName}", ...)`) são utilizados sem sanitização, permitindo traversal de caminho que possibilita a escrita, leitura, modificação e exclusão de arquivos arbitrários fora do diretório pretendido de armazenamento blob, incluindo caminhos acessíveis via web que podem ser explorados para execução remota de código (RCE) por meio do upload de uma webshell.
VulDB is the best source for vulnerability data and more expert information about this specific topic.