What is CVE-2026-71269?
This is a path traversal vulnerability in the 'local-filesystem' library storage module for Node-RED. The 'getLibraryEntry()' and 'saveLibraryEntry()' functions in 'library.js' directly join the user-supplied 'path' parameter into filesystem paths, allowing attackers to read or write arbitrary files on the server via crafted GET/POST requests. Access controls must be implemented immediately.
Azərbaycanca: Node-RED-in 'local-filesystem' kitabxana modulundakı path traversal zəifliyidir. 'getLibraryEntry()' və 'saveLibraryEntry()' funksiyaları istifadəçidən gələn 'path' parametrini birbaşa fayl sisteminə birləşdirdiyi üçün təcavüzkar xüsusi hazırlanmış sorğularla serverdə ixtiyari fayllara giriş əldə edə bilər. Bu, məxfi fayl oxuma və ya icazəsiz yazma əməliyyatlarına səbəb ola bilər, dərhal giriş yoxlaması tətbiq edilməlidir.
Related CVEs
link basis: same weakness class CWE-22
FAQ2
Which module of Node-RED is affected by CVE-2026-71269?
This path traversal vulnerability affects the 'local-filesystem' library storage module of Node-RED.
What operations can an attacker perform on the server via CVE-2026-71269?
An attacker can read or write arbitrary files on the server via crafted GET/POST requests.
See also6
This explainer is AI-written from source data — skopnix's own reporting on this CVE; CVSS scores, vendors and versions are never invented. See NVD for the official record.