CVE-2026-71235 in Magistrala
Tóm tắt
Bởi VulDB • 05/08/2026
Công cụ quy tắc (Rules Engine) của Magistrala cho phép người dùng đã xác thực tạo các quy tắc chứa script Go hoặc Lua được thực thi phía máy chủ khi tin nhắn IoT đến. Công cụ script Go (re/golang.go) chạy các script thông qua trình diễn giải Yaegi với stdlib.Symbols, expose toàn bộ thư viện chuẩn của Go (bao gồm os và net/http), trong đó việc xác thực chỉ giới hạn ở một biểu thức chính quy chặn goroutines và lệnh gọi panic(); các hàm nguy hiểm như os.ReadFile, os.WriteFile, os.Remove và os.Environ vẫn hoàn toàn có thể truy cập được. Công cụ script Lua (re/lua.go) không thực hiện bất kỳ kiểm tra đầu vào nào và tải trước các thư viện nguy hiểm: db (truy cập cơ sở dữ liệu tùy ý), ioutil (I/O tệp tin), một máy khách HTTP (SSRF) và filepath (duyệt đường dẫn). Người dùng đã xác thực với đặc quyền thấp có thể đạt được việc đọc/ghi tệp tin tùy ý, rò rỉ biến môi trường, truy cập cơ sở dữ liệu và SSRF chống lại các vi dịch vụ nội bộ.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.