CVE-2020-26869
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 74 - wyżej niż 74% wszystkich znanych CVE
Streszczenie
Podatność w systemie PcVue przed wersją 12.0.17 umożliwia nieautoryzowanym użytkownikom dostęp do danych sesji legalnych użytkowników. Problem dotyczy również systemów firm trzecich opartych na Web Services Toolkit.
Ocena ryzyka
Ryzyko polega na możliwości przejęcia sesji użytkowników, co może prowadzić do nieautoryzowanego dostępu do wrażliwych danych i funkcji systemu SCADA.
Rekomendacja
Należy niezwłocznie zaktualizować system PcVue do wersji 12.0.17 lub nowszej. Dla systemów firm trzecich opartych na Web Services Toolkit wymagana jest aktualizacja dostarczona przez producenta.
Inne podatności w PcVue
Zobacz wszystkie- CVE-2020-26867Krytyczne
Podatność w systemie PcVue przed wersją 12.0.17 wynika z deserializacji niezaufanych danych, co może umożliwić atakującemu zdalne wykonanie dowolnego kodu na serwerze zaplecza webowego i mobilnego.
- CVE-2011-4042Wysokie
Nieokreślona kontrolka ActiveX w pliku SVUIGrd.ocx w oprogramowaniu ARC Informatique PcVue w wersjach od 6.0 do 10.0, FrontVue i PlantVue umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez użycie spreparowanego dokumentu HTML do przejęcia wskaźnika funkcji.
- CVE-2026-14868Średnie
Podatność w PcVue przed wersją 17.0.0 wynika z użycia zbyt słabego algorytmu szyfrowania do ochrony konfiguracji kont użytkowników wbudowanego katalogu. Lokalny atakujący może zmodyfikować istniejącą konfigurację i uzyskać uprzywilejowany dostęp do aplikacji.
- CVE-2026-14867Średnie
W projekcie PcVue w wersjach przed 17.0.0 poświadczenia wbudowanych użytkowników są przechowywane w niebezpieczny sposób w katalogu User. Lokalny atakujący może odczytać te poświadczenia. Konta Active Directory nie są podatne na tę lukę.
- CVE-2026-1698Średnie
Podatność ataku na nagłówek Host HTTP w aplikacjach WebClient i WebScheduler PcVue (wersje 15.0.0 do 16.3.3) umożliwia zdalnemu atakującemu wstrzyknięcie szkodliwych ładunków manipulujących działaniem serwera. Problem dotyczy konkretnych endpointów: /Authentication/ExternalLogin, /Authentication/AuthorizationCodeCallback oraz /Authentication/Logout.
- CVE-2026-1697Średnie
W aplikacjach webowych GraphicalData i WebClient oprogramowania PcVue w wersjach od 12.0.0 do 16.3.3 brakuje atrybutów Secure i SameSite w ciasteczkach. Umożliwia to ataki przechwytywania sesji oraz ataki CSRF.
- CVE-2026-1695Średnie
Podatność XSS w usługach OAuth PcVue (wersje 12.0.0–16.3.3) umożliwia zdalnemu atakującemu wstrzyknięcie złośliwego kodu na stronę błędu serwera OAuth. Atak wymaga nakłonienia uwierzytelnionego użytkownika do załadowania treści z zewnętrznej strony po nieudanym logowaniu.
- CVE-2026-1694Średnie
Podatność w PcVue (wersje 12.0.0–16.3.3) powoduje, że domyślna konfiguracja IIS i ASP.NET dodaje nagłówki HTTP, które nie są usuwane podczas wdrażania usług sieciowych dla funkcji WebVue, WebScheduler, TouchVue i SnapVue. Umożliwia to niepotrzebne ujawnianie poufnych informacji o konfiguracji serwera.
- CVE-2026-1693Wysokie
Podatność w PcVue polega na tym, że przepływ OAuth ROPC (Resource Owner Password Credentials) jest nadal używany przez webservices funkcji WebVue, WebScheduler, TouchVue i Snapvue w wersjach od 12.0.0 do 16.3.3, mimo że jest wycofany. Może to umożliwić zdalnemu atakującemu kradzież poświadczeń użytkownika.
- CVE-2026-1692Średnie
Brak walidacji pochodzenia w WebSocketach w interfejsach WebVue, WebScheduler, TouchVue i SnapVue oprogramowania PcVue (wersje 12.0.0–16.3.3) umożliwia zdalnemu atakującemu nakłonienie uwierzytelnionego użytkownika do odwiedzenia złośliwej strony. Podatność dotyczy tylko endpointów GraphicalData/js/signalR/connect i GraphicalData/js/signalR/reconnect.
Oryginalny opis (angielski, źródło NVD)
ARC Informatique PcVue prior to version 12.0.17 is vulnerable to information exposure, allowing unauthorized users to access session data of legitimate users. This issue also affects third-party systems based on the Web Services Toolkit.