What is CVE-2026-71278?
CVE-2026-71278 allows unauthenticated creation of a 'calc rule' with an arbitrary `script` field in rust-iot-platform via the `POST /calc-rule/create` endpoint. This missing `AuthToken` request guard enables potential remote code execution or system compromise. Immediate remediation requires enforcing authentication on this route.
Azərbaycanca: CVE-2026-71278 zəifliyi rust-iot-platform-da autentifikasiya olmadan ixtiyari `script` sahəsi ilə hesablama qaydası (calc rule) yaratmağa imkan verir. Bu, hücum edənə uzaqdan kod icrasına və ya sistemə müdaxiləyə səbəb ola biləcək `POST /calc-rule/create` endpoint-i vasitəsilə mümkündür. Tətbiqdə giriş yoxlamasını təmin edən `AuthToken` qoruyucusu bu marşrutda istifadə edilmədiyi üçün dərhal autentifikasiya mexanizmi əlavə edilməlidir.
Related CVEs
link basis: same weakness class CWE-306
FAQ1
Through which endpoint can CVE-2026-71278 be exploited in rust-iot-platform?
The vulnerability is exploitable via the `POST /calc-rule/create` endpoint, allowing unauthenticated creation of a calc rule with an arbitrary `script` field.
See also6
This explainer is AI-written from source data — skopnix's own reporting on this CVE; CVSS scores, vendors and versions are never invented. See NVD for the official record.