CVE-2026-71278 in rust-iot-platform
Sumário
de VulDB • 05/08/2026
O rust-iot-platform permite criar uma "calc rule" via POST /calc-rule/create (api/src/controller/calc_rule_router.rs) contendo um campo `script` arbitrário. Esta rota não utiliza o AuthToken request guard usado em outras partes da aplicação, tornando-a acessível sem autenticação. O script armazenado é posteriormente executado através de quick_js::Context::eval() em api/src/biz/calc_run_biz.rs, sem sandboxing, permitindo que um atacante não autenticado realize execução arbitrária de JavaScript no processo do servidor ao criar e acionar uma calc rule maliciosa.
If you want to get best quality of vulnerability data, you may have to visit VulDB.