CVE-2026-71278
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 39 - wyżej niż 39% wszystkich znanych CVE
Streszczenie
rust-iot-platform umożliwia tworzenie 'calc rule' przez POST /calc-rule/create (api/src/controller/calc_rule_router.rs) z dowolnym polem. Ta trasa nie korzysta z zabezpieczenia AuthToken, które jest używane w innych miejscach aplikacji, co czyni ją dostępną bez uwierzytelnienia.
Ocena ryzyka
Nieuwierzytelniony atakujący może tworzyć reguły kalkulacji, co może prowadzić do nieautoryzowanych zmian w systemie, manipulacji danymi lub zakłócenia działania.
Rekomendacja
Należy dodać zabezpieczenie AuthToken do trasy /calc-rule/create. Zaleca się również przegląd wszystkich tras pod kątem brakujących zabezpieczeń.
Oryginalny opis (angielski, źródło NVD)
rust-iot-platform allows creating a "calc rule" via POST /calc-rule/create (api/src/controller/calc_rule_router.rs) containing an arbitrary field. This route does not take the AuthToken request guard used elsewhere in the application, making it reachable without authentication.