PT-2026-68151 · Unknown · Rust-Iot-Platform
CVSS v3.1
9.8
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
Nome do Software Vulnerável e Versões Afetadas
rust-iot-platform (versões afetadas não especificadas)
Description
Um invasor não autenticado pode alcançar a execução arbitrária de JavaScript no processo do servidor ao criar e acionar uma regra de cálculo maliciosa. O endpoint 'POST /calc-rule/create' não possui o guardião de requisição AuthToken, permitindo o acesso sem autenticação para criar uma regra contendo um campo
script arbitrário. Este script armazenado é posteriormente executado através da função quick js::Context::eval() sem sandboxing.Recommendations
No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.
Restrinja o acesso ao endpoint 'POST /calc-rule/create' para minimizar o risco de exploração.
Code Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Rust-Iot-Platform