CVE-2026-71262
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 46 - wyżej niż 46% wszystkich znanych CVE
Streszczenie
W IoTSharp, kontroler BlobStorageController.cs nie ma atrybutu [Authorize], który jest zastosowany w innych kontrolerach, a w Startup.cs nie skonfigurowano globalnej polityki autoryzacji. W rezultacie punkty końcowe Upload/Download/List/Modify/Delete są dostępne dla nieuwierzytelnionych zdalnych atakujących.
Ocena ryzyka
Ryzyko nieautoryzowanego dostępu do przechowywanych plików i ich modyfikacji, co może prowadzić do naruszenia poufności i integralności danych oraz potencjalnego przejęcia systemu.
Rekomendacja
Dodaj atrybut [Authorize] do BlobStorageController lub skonfiguruj globalną politykę autoryzacji w Startup.cs. Dodatkowo przetestuj wszystkie punkty końcowe pod kątem wymaganego uwierzytelnienia.
Oryginalny opis (angielski, źródło NVD)
IoTSharp BlobStorageController.cs lacks the [Authorize] attribute applied to every other controller in the application (DevicesController, CustomersController, TenantsController, etc.), and no global authorization FallbackPolicy is configured in Startup.cs, leaving its Upload/Download/List/Modify/Delete endpoints reachable by unauthenticated remote attackers.