PT-2026-46117 · Malla · Malla

CVE-2026-43980 · Publicado 2026-06-03 · Atualizado 2026-07-13

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:L

Nome do Software Vulnerável e Versões Afetadas Malla (versões afetadas não especificadas)

Descrição Nomes de nós recebidos via MQTT são armazenados no SQLite sem sanitização e renderizados no Document Object Model (DOM) sem escape. Isso permite que atacantes remotos não autenticados definam nomes de nós maliciosos por meio de um broker MQTT público do Meshtastic, levando à execução de JavaScript arbitrário no navegador de qualquer visitante do painel do Malla. O problema envolve as variáveis long name e short name. Os impactos potenciais incluem sobreposições de phishing, redirecionamentos forçados para sites maliciosos, injeção de scripts de terceiros, abuso de recursos do navegador e negação de serviço persistente do painel.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2026-43980

GHSA-CH57-39Q2-4CRM

PYSEC-2026-2618

Produtos afetados

Malla

Referências · 8

• https://github.com/zenitraM/malla/commit/4086e2b5f61615a813b70b25bc76095083552135 · Nota
• https://github.com/zenitraM/malla · Nota
• https://github.com/zenitraM/malla/security/advisories/GHSA-ch57-39q2-4crm · Nota
• https://pypi.org/project/malla · Nota
• https://osv.dev/vulnerability/PYSEC-2026-2618 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-43980 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-ch57-39q2-4crm · Aviso do Fabricante
• https://github.com/advisories/GHSA-ch57-39q2-4crm · Nota