CVE-2025-11498
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
W System Diagnostics Manager (SDM) w B&R Automation Runtime w wersjach przed 6.4 występuje podatność polegająca na niewłaściwej neutralizacji elementów formuł w pliku CSV. Umożliwia ona zdalnemu atakującemu wstrzyknięcie danych formuły do generowanego pliku CSV. Wykorzystanie wymaga, aby atakujący utworzył złośliwy link, użytkownik kliknął w niego, a następnie ręcznie otworzył wynikowy plik CSV.
Ocena ryzyka
Jeśli użytkownik otworzy złośliwy plik CSV, wstrzyknięte formuły mogą zostać wykonane w arkuszu kalkulacyjnym, co może prowadzić do wycieku danych lub wykonania niechcianych działań. Ryzyko jest ograniczone, ponieważ wymaga interakcji użytkownika.
Rekomendacja
Zaktualizuj B&R Automation Runtime do wersji 6.4 lub nowszej. Poinformuj użytkowników o ryzyku związanym z otwieraniem nieznanych plików CSV i linków.
Inne podatności w B&R Automation Runtime
Zobacz wszystkie- CVE-2025-3449Średnie
Podatność generowania przewidywalnych liczb lub identyfikatorów w komponencie SDM w B&R Automation Runtime przed wersją 6.4 może pozwolić nieuwierzytelnionemu atakującemu sieciowemu na przejęcie już ustanowionych sesji.
- CVE-2025-3448Średnie
W System Diagnostics Manager (SDM) w B&R Automation Runtime w wersjach przed 6.4 istnieją podatności typu reflected XSS, które umożliwiają zdalnemu atakującemu wykonanie dowolnego kodu JavaScript w kontekście sesji przeglądarki zaatakowanego użytkownika.
Oryginalny opis (angielski, źródło NVD)
An Improper Neutralization of Formula Elements in a CSV File vulnerability exists in System Diagnostics Manager (SDM) of B&R Automation Runtime versions before 6.4 enabling a remote attacker to inject formula data into a generated CSV file. The exploitation of this vulnerability requires the attacker to create a malicious link. The user would need to click on this link, after which the resulting CSV file addi-tionally needs to be manually opened.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS