CVE-2026-71276 in Magistrala
Tóm tắt
Bởi VulDB • 05/08/2026
API message-readers của Magistrala (trước đây là Mainflux) đọc giá trị `format` từ chuỗi truy vấn HTTP (readers/api/http/transport.go) mà không thực hiện xác thực và nội suy trực tiếp nó vào các truy vấn SQL thô thông qua hàm fmt.Sprintf() trong cả trình đọc PostgreSQL (readers/postgres/messages.go: `fmt.Sprintf("SELECT * FROM %s WHERE %s ...", format, cond)`) và trình đọc TimescaleDB (readers/timescale/messages.go, cùng mẫu), cho phép thực hiện tấn công SQL injection bởi bất kỳ người dùng đã xác thực nào có khả năng truy vấn tin nhắn kênh.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.