CVE-2026-71279

Zigbee2MQTT's ExternalJSExtension.getFilePath (lib/extension/externalJS.ts) joins a parameter received via an MQTT message (topic zigbee2mqtt/bridge/request/extension/save) into the extensions base path using path.join(basePath, name) with no sanitization. The extension handler only validates that the name ends in .js/.mjs/.cjs, writes the file, and then dynamically imports it via Node.js import, achieving remote code execution.

CVSS v3 8.0 HIGH

8.0^/10

CVSS v3 : HIGH

Vector :

Exploitability : 2.1 / Impact : 5.9

Attack Vector ADJACENT_NETWORK

Attack Complexity LOW

Privileges Required LOW

User Interaction NONE

Confidentiality Impact HIGH

Integrity Impact HIGH

Availability Impact HIGH

Scope UNCHANGED

References

Link	Resource
https://github.com/Koenkk/zigbee2mqtt
https://github.com/Koenkk/zigbee2mqtt/blob/master/lib/extension/externalJS.ts

Configurations

No configuration.

History

23 Oct 2026, 21:10

Type	Values Removed	Values Added
Summary		(es) ExternalJSExtension.getFilePath() de Zigbee2MQTT (lib/extensión/externalJS.ts) une un parámetro ’name’ recibido a través de un mensaje MQTT (tema zigbee2mqtt/bridge/request/extensión/save) en la ruta base de las extensiones usando path.join(basePath, name) sin sanitización. Debido a que path.join() resuelve secuencias ’.. / ’, un nombre como ’.. / .. / tmp/evil.js’ escapa del directorio de extensiones previsto. El gestor de extensiones solo valida que el nombre termine en .js/.mjs/.cjs, escribe el archivo y luego lo importa dinámicamente a través de Node.js import(), logrando ejecución remota de código. Requiere la opción de configuración ’enable_external_js’ (desactivada por defecto, pero comúnmente habilitada en instalaciones heredadas) y acceso al broker MQTT, que con frecuencia no está autenticado en implementaciones reales. El idéntico getFilePath() no sanitizado también es utilizado por el gestor de eliminación de extensiones, permitiendo la eliminación arbitraria de archivos.

Information

Published : 2026-08-05 13:24

Updated : 2026-10-23 21:10

NVD link : CVE-2026-71279

Mitre link : CVE-2026-71279

CVE.ORG link : CVE-2026-71279

JSON object : View

Products Affected

No product.

CWE

CWE-22

Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal')

{"id": "CVE-2026-71279", "cveTags": [], "metrics": {"ssvcV203": [{"source": "134c704f-9b21-4f2e-91b3-4a467353bcc0", "ssvcData": {"id": "CVE-2026-71279", "role": "CISA Coordinator", "options": [{"exploitation": "none"}, {"automatable": "no"}, {"technicalImpact": "total"}], "version": "2.0.3", "timestamp": "2026-08-05T15:55:04.507481Z"}}], "cvssMetricV31": [{"type": "Secondary", "source": "309f9ea4-e3e9-4c6c-b79d-e8eb01244f2c", "cvssData": {"scope": "UNCHANGED", "version": "3.1", "baseScore": 8.0, "attackVector": "ADJACENT_NETWORK", "baseSeverity": "HIGH", "vectorString": "CVSS:3.1/AV:A/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H", "integrityImpact": "HIGH", "userInteraction": "NONE", "attackComplexity": "LOW", "availabilityImpact": "HIGH", "privilegesRequired": "LOW", "confidentialityImpact": "HIGH"}, "impactScore": 5.9, "exploitabilityScore": 2.1}]}, "affected": [{"source": "309f9ea4-e3e9-4c6c-b79d-e8eb01244f2c", "affectedData": [{"vendor": "Koenkk", "product": "zigbee2mqtt", "versions": [{"status": "affected", "version": "0", "versionType": "semver", "lessThanOrEqual": "2.12.0"}], "programFiles": ["lib/extension/externalJS.ts"], "defaultStatus": "unaffected"}]}], "published": "2026-08-05T13:24:52.437", "references": [{"url": "https://github.com/Koenkk/zigbee2mqtt", "source": "309f9ea4-e3e9-4c6c-b79d-e8eb01244f2c"}, {"url": "https://github.com/Koenkk/zigbee2mqtt/blob/master/lib/extension/externalJS.ts", "source": "309f9ea4-e3e9-4c6c-b79d-e8eb01244f2c"}], "vulnStatus": "Deferred", "weaknesses": [{"type": "Secondary", "source": "309f9ea4-e3e9-4c6c-b79d-e8eb01244f2c", "description": [{"lang": "en", "value": "CWE-22"}]}], "descriptions": [{"lang": "en", "value": "Zigbee2MQTT's ExternalJSExtension.getFilePath (lib/extension/externalJS.ts) joins a parameter received via an MQTT message (topic zigbee2mqtt/bridge/request/extension/save) into the extensions base path using path.join(basePath, name) with no sanitization. The extension handler only validates that the name ends in .js/.mjs/.cjs, writes the file, and then dynamically imports it via Node.js import, achieving remote code execution."}, {"lang": "es", "value": "ExternalJSExtension.getFilePath() de Zigbee2MQTT (lib/extensi\u00f3n/externalJS.ts) une un par\u00e1metro \u2019name\u2019 recibido a trav\u00e9s de un mensaje MQTT (tema zigbee2mqtt/bridge/request/extensi\u00f3n/save) en la ruta base de las extensiones usando path.join(basePath, name) sin sanitizaci\u00f3n. Debido a que path.join() resuelve secuencias \u2019.. / \u2019, un nombre como \u2019.. / .. / tmp/evil.js\u2019 escapa del directorio de extensiones previsto. El gestor de extensiones solo valida que el nombre termine en .js/.mjs/.cjs, escribe el archivo y luego lo importa din\u00e1micamente a trav\u00e9s de Node.js import(), logrando ejecuci\u00f3n remota de c\u00f3digo. Requiere la opci\u00f3n de configuraci\u00f3n \u2019enable_external_js\u2019 (desactivada por defecto, pero com\u00fanmente habilitada en instalaciones heredadas) y acceso al broker MQTT, que con frecuencia no est\u00e1 autenticado en implementaciones reales. El id\u00e9ntico getFilePath() no sanitizado tambi\u00e9n es utilizado por el gestor de eliminaci\u00f3n de extensiones, permitiendo la eliminaci\u00f3n arbitraria de archivos."}], "lastModified": "2026-10-23T21:10:00.157", "sourceIdentifier": "309f9ea4-e3e9-4c6c-b79d-e8eb01244f2c"}