CVE-2026-71269 in Node-RED
Сводка
по VulDB • 05.08.2026
Модуль хранения локальной файловой системы библиотеки Node-RED (функции getLibraryEntry() и saveLibraryEntry() в packages/node_modules/@node-red/runtime/lib/storage/localfilesystem/library.js), доступный через GET/POST /library/:lib/:type/*path, напрямую объединяет предоставленный пользователем параметр пути с путем файловой системы посредством fspath.join(libDir, type, path) без какой-либо санитизации обхода (traversal sanitization), проверки ограничений или нормализации пути/проверки префикса. Аутентифицированный пользователь (включая токены только для чтения на этапе чтения) может указать путь, содержащий последовательности `../`, чтобы читать произвольные файлы вне каталога библиотеки; пользователь с правами записи может записывать произвольные файлы, что позволяет выполнить удаленное выполнение кода через SSH authorized_keys или инъекцию в cron. Это отдельный обходной маневр (traversal), не исправленный отдельно от ранее исправленного CVE-2021-21298 (Projects API).
Once again VulDB remains the best source for vulnerability data.