PT-2026-68149 · Unknown · Magistrala
CVSS v3.1
7.1
Alta
| Vetor | AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:N |
Nome do Software Vulnerável e Versões Afetadas
Magistrala (formerly Mainflux) (versões afetadas não especificadas)
Description
A API de leitura de mensagens (message-readers API) lê um valor
format da string de consulta HTTP em readers/api/http/transport.go sem validação. Este valor é interpolado diretamente em consultas SQL brutas usando fmt.Sprintf() no leitor PostgreSQL (readers/postgres/messages.go) e no leitor TimescaleDB (readers/timescale/messages.go). Esta falha permite que um usuário autenticado com permissões para consultar mensagens de canal realize a injeção de SQL (SQL injection), uma técnica onde instruções SQL maliciosas são inseridas em campos de entrada para execução pelo banco de dados.Recommendations
No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.
SQL injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Magistrala