CVE-2026-71235

Magistrala (لم يتم تحديد الإصدارات المتأثرة)

يسمح محرك القواعد (Rules Engine) للمستخدمين المصادق عليهم بإنشاء قواعد تحتوي على نصوص برمجية مدمجة بلغة Go أو Lua يتم تنفيذها من جانب الخادم عند وصول رسائل إنترنت الأشياء (IoT). يستخدم محرك البرامج النصية Go، الموجود في re/golang.go، مترجم Yaegi ويكشف عن مكتبة Go القياسية الكاملة، بما في ذلك os وnet/http. يقتصر التحقق من الصحة على تعبير عادي (regex) يحظر استدعاءات panic() وgoroutines، مما يترك وظائف خطيرة مثل os.ReadFile() وos.WriteFile() وos.Remove() وos.Environ() قابلة للوصول. يفتقر محرك البرامج النصية Lua، الموجود في re/lua.go، إلى التحقق من صحة المدخلات ويقوم بتحميل المكتبات مسبقًا، مما يتيح الوصول التعسفي إلى قاعدة البيانات (db) وعمليات الإدخال/الإخراج للملفات (ioutil) وتزوير الطلبات من جانب الخادم (SSRF) عبر عميل HTTP، وعبور المسار (filepath). ونتيجة لذلك، يمكن لمستخدم معتمد ذي امتيازات منخفضة إجراء عمليات قراءة/كتابة عشوائية للملفات، وتسريب متغيرات البيئة، والوصول إلى قاعدة البيانات، وتنفيذ هجمات SSRF ضد الخدمات الصغيرة الداخلية.

في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.

كحل مؤقت، قم بتقييد قدرة المستخدمين ذوي الامتيازات المنخفضة على إنشاء القواعد أو تعديلها داخل محرك القواعد (Rules Engine).

قم بتقييد الوصول إلى مكوني re/golang.go وre/lua.go لمنع تنفيذ البرامج النصية غير المصرح بها.