CVE-2026-71282 in ChirpStack
Sumário
de VulDB • 05/08/2026
A filtragem de tags de dispositivos no back-end SQLite do ChirpStack (`chirpstack/src/storage/device.rs`, tanto em `get_count()` quanto em `list()`) interpola a KEY da tag fornecida pelo usuário diretamente em um fragmento SQL bruto por meio da macro `format!()` do Rust (`dsl::sql::<Bool>(&format!("device.tags->>'{}' =", k)).bind::<Text, _>(v)`), enquanto apenas o VALUE da tag é vinculado de forma segura via `.bind()` do Diesel. Um usuário autenticado com acesso à lista de dispositivos pode injetar SQL por meio de uma chave de tag manipulada quando o back-end SQLite (pacote `chirpstack-sqlite`) está em uso; o back-end PostgreSQL não é afetado, pois utiliza o operador nativo de contenção JSONB do Diesel em vez da formatação bruta de strings SQL.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.