CVE-2026-71282

Nome do Software Vulnerável e Versões Afetadas ChirpStack (versões afetadas não especificadas)

Descrição Um usuário autenticado com acesso à lista de dispositivos pode realizar a injeção de SQL quando o backend SQLite é utilizado. O problema ocorre porque a chave da tag fornecida pelo usuário é interpolada diretamente em um fragmento de SQL bruto usando a macro format! dentro das funções get count() e list() em chirpstack/src/storage/device.rs, enquanto apenas o valor da tag é vinculado de forma segura. Esta falha é específica do backend SQLite; o backend PostgreSQL não é afetado, pois utiliza operadores nativos de contenção JSONB.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.