CVE-2020-26868
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 80 - wyżej niż 80% wszystkich znanych CVE
Streszczenie
Podatność w systemie PcVue przed wersją 12.0.17 umożliwia nieautoryzowanemu użytkownikowi modyfikację informacji używanych do walidacji wiadomości od legalnych klientów internetowych, co prowadzi do ataku typu odmowa usługi (DoS). Problem dotyczy również systemów firm trzecich opartych na Web Services Toolkit.
Ocena ryzyka
Atak może spowodować przerwanie działania systemu SCADA, uniemożliwiając operatorom monitorowanie i sterowanie procesami przemysłowymi, co w krytycznej infrastrukturze grozi poważnymi zakłóceniami operacyjnymi.
Rekomendacja
Należy niezwłocznie zaktualizować system PcVue do wersji 12.0.17 lub nowszej. Dla systemów firm trzecich opartych na Web Services Toolkit należy zastosować odpowiednie łatki dostarczone przez producenta.
Inne podatności w PcVue
Zobacz wszystkie- CVE-2020-26867Krytyczne
Podatność w systemie PcVue przed wersją 12.0.17 wynika z deserializacji niezaufanych danych, co może umożliwić atakującemu zdalne wykonanie dowolnego kodu na serwerze zaplecza webowego i mobilnego.
- CVE-2011-4042Wysokie
Nieokreślona kontrolka ActiveX w pliku SVUIGrd.ocx w oprogramowaniu ARC Informatique PcVue w wersjach od 6.0 do 10.0, FrontVue i PlantVue umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez użycie spreparowanego dokumentu HTML do przejęcia wskaźnika funkcji.
- CVE-2026-14868Średnie
Podatność w PcVue przed wersją 17.0.0 wynika z użycia zbyt słabego algorytmu szyfrowania do ochrony konfiguracji kont użytkowników wbudowanego katalogu. Lokalny atakujący może zmodyfikować istniejącą konfigurację i uzyskać uprzywilejowany dostęp do aplikacji.
- CVE-2026-14867Średnie
W projekcie PcVue w wersjach przed 17.0.0 poświadczenia wbudowanych użytkowników są przechowywane w niebezpieczny sposób w katalogu User. Lokalny atakujący może odczytać te poświadczenia. Konta Active Directory nie są podatne na tę lukę.
- CVE-2026-1698Średnie
Podatność ataku na nagłówek Host HTTP w aplikacjach WebClient i WebScheduler PcVue (wersje 15.0.0 do 16.3.3) umożliwia zdalnemu atakującemu wstrzyknięcie szkodliwych ładunków manipulujących działaniem serwera. Problem dotyczy konkretnych endpointów: /Authentication/ExternalLogin, /Authentication/AuthorizationCodeCallback oraz /Authentication/Logout.
- CVE-2026-1697Średnie
W aplikacjach webowych GraphicalData i WebClient oprogramowania PcVue w wersjach od 12.0.0 do 16.3.3 brakuje atrybutów Secure i SameSite w ciasteczkach. Umożliwia to ataki przechwytywania sesji oraz ataki CSRF.
- CVE-2026-1695Średnie
Podatność XSS w usługach OAuth PcVue (wersje 12.0.0–16.3.3) umożliwia zdalnemu atakującemu wstrzyknięcie złośliwego kodu na stronę błędu serwera OAuth. Atak wymaga nakłonienia uwierzytelnionego użytkownika do załadowania treści z zewnętrznej strony po nieudanym logowaniu.
- CVE-2026-1694Średnie
Podatność w PcVue (wersje 12.0.0–16.3.3) powoduje, że domyślna konfiguracja IIS i ASP.NET dodaje nagłówki HTTP, które nie są usuwane podczas wdrażania usług sieciowych dla funkcji WebVue, WebScheduler, TouchVue i SnapVue. Umożliwia to niepotrzebne ujawnianie poufnych informacji o konfiguracji serwera.
- CVE-2026-1693Wysokie
Podatność w PcVue polega na tym, że przepływ OAuth ROPC (Resource Owner Password Credentials) jest nadal używany przez webservices funkcji WebVue, WebScheduler, TouchVue i Snapvue w wersjach od 12.0.0 do 16.3.3, mimo że jest wycofany. Może to umożliwić zdalnemu atakującemu kradzież poświadczeń użytkownika.
- CVE-2026-1692Średnie
Brak walidacji pochodzenia w WebSocketach w interfejsach WebVue, WebScheduler, TouchVue i SnapVue oprogramowania PcVue (wersje 12.0.0–16.3.3) umożliwia zdalnemu atakującemu nakłonienie uwierzytelnionego użytkownika do odwiedzenia złośliwej strony. Podatność dotyczy tylko endpointów GraphicalData/js/signalR/connect i GraphicalData/js/signalR/reconnect.
Oryginalny opis (angielski, źródło NVD)
ARC Informatique PcVue prior to version 12.0.17 is vulnerable to a denial-of-service attack due to the ability of an unauthorized user to modify information used to validate messages sent by legitimate web clients. This issue also affects third-party systems based on the Web Services Toolkit.