CVE-2026-71269

Nome do Software Vulnerável e Versões Afetadas Node-RED (versões afetadas não especificadas)

Descrição O módulo de armazenamento de biblioteca local-filesystem contém uma falha de traversal de caminho nas funções getLibraryEntry() e saveLibraryEntry(). Este problema ocorre porque o parâmetro de caminho fornecido pelo usuário é unido diretamente ao caminho do sistema de arquivos via fspath.join(libDir, type, path) sem sanitização, verificações de contenção ou normalização de caminho. A falha é acessível através dos endpoints GET e POST /library/:lib/:type/*path. Um usuário autenticado pode usar sequências ../ para ler arquivos arbitrários fora do diretório da biblioteca. Usuários com acesso de escrita podem gravar arquivos arbitrários, o que pode levar à execução remota de código por meio de injeção de cron ou modificação de authorized keys do SSH.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.