What is CVE-2026-71279?
CVE-2026-71279 is a path traversal vulnerability in Zigbee2MQTT. The `ExternalJSExtension.getFilePath()` function joins an unsanitized `name` parameter from an MQTT message with the extensions base path, allowing `../` sequences to escape the intended directory. Users should immediately update to the latest version and restrict MQTT access at the network level.
Azərbaycanca: CVE-2026-71279 Zigbee2MQTT proqramında path traversal zəifliyidir. `ExternalJSExtension.getFilePath()` funksiyası MQTT mesajı ilə gələn `name` parametrini yol birləşdirmə zamanı təmizləmədiyi üçün, `../` istifadə edərək qovluqdan kənara çıxmaq mümkündür. İstifadəçilər dərhal son versiyaya yeniləməli və şəbəkə səviyyəsində MQTT girişini məhdudlaşdırmalıdır.
Related CVEs
link basis: same weakness class CWE-22
FAQ2
Which component of Zigbee2MQTT contains the CVE-2026-71279 vulnerability?
The vulnerability exists in the `ExternalJSExtension.getFilePath()` function.
What measures should be taken to mitigate CVE-2026-71279?
Users should immediately update to the latest version and restrict MQTT access at the network level.
See also6
This explainer is AI-written from source data — skopnix's own reporting on this CVE; CVSS scores, vendors and versions are never invented. See NVD for the official record.