Aktywnie wykorzystywana w atakach

OpenPLC ScadaBR Cross-site Scripting Vulnerability

OpenPLC - ScadaBR · Figuruje w katalogu CISA KEV od 2025-11-28. Oznacza to potwierdzone ataki w środowisku produkcyjnym.

Wymagane działanie: Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

CVE-2021-26829

ŚrednieCVSS 5.4KEV

Opublikowano: 11/06/2021(UTC)Zaktualizowano: 17/06/2026(UTC)Przetłumaczono: 18/09/2026(UTC)NVD NIST

Streszczenie

OpenPLC ScadaBR do wersji 0.9.1 na Linuksie i do 1.12.4 na Windowsie pozwala na przechowywany XSS poprzez system_settings.shtm.

Ocena ryzyka

Atakujący może wstrzyknąć złośliwy skrypt, który zostanie wykonany w przeglądarce ofiary, co może prowadzić do kradzieży sesji lub innych działań w kontekście użytkownika.

Rekomendacja

Zaktualizuj OpenPLC ScadaBR do wersji nowszej niż 0.9.1 (Linux) lub 1.12.4 (Windows) lub zastosuj środki zaradcze przeciw XSS.

Inne podatności w OpenPLC ScadaBR

CVE-2021-26828WysokieAktywnie exploitowane
Podatność w OpenPLC ScadaBR do wersji 0.9.1 na Linuksie i do 1.12.4 na Windows pozwala uwierzytelnionym zdalnym użytkownikom na przesłanie i wykonanie dowolnych plików JSP poprzez view_edit.shtm.

Oryginalny opis (angielski, źródło NVD)

OpenPLC ScadaBR through 0.9.1 on Linux and through 1.12.4 on Windows allows stored XSS via system_settings.shtm.