CVE-2026-71276 in Magistrala
Сводка
по VulDB • 05.08.2026
В API для чтения сообщений Magistrala (ранее Mainflux) значение `format` считывается из строки запроса HTTP (файл readers/api/http/transport.go) без какой-либо проверки и напрямую подставляется в сырые SQL-запросы с помощью функции fmt.Sprintf() как в модуле чтения PostgreSQL (readers/postgres/messages.go: `fmt.Sprintf("SELECT * FROM %s WHERE %s ...", format, cond)`), так и в модуле чтения TimescaleDB (readers/timescale/messages.go, аналогичный паттерн). Это позволяет выполнять SQL-инъекцию любому аутентифицированному пользователю, имеющему возможность запрашивать сообщения каналов.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.