CVE-2026-105278
KrytyczneCVSS 9.8Streszczenie
Opublikowany obraz Docker dla openPDC zawiera stałe poświadczenia administracyjne, które nie są wymuszane do zmiany przy pierwszym użyciu. Atakujący z dostępem sieciowym do interfejsu zarządzania może uwierzytelnić się tymi poświadczeniami i uzyskać pełną kontrolę administracyjną nad aplikacją.
Ocena ryzyka
Atakujący może uzyskać pełną kontrolę administracyjną nad aplikacją openPDC, co może prowadzić do nieautoryzowanych zmian konfiguracji i dostępu do danych.
Rekomendacja
Zmień domyślne poświadczenia administracyjne w obrazie Docker openPDC i wymuś zmianę hasła przy pierwszym logowaniu. Ogranicz dostęp sieciowy do interfejsu zarządzania.
Inne podatności w openPDC
Zobacz wszystkie- CVE-2026-85479Średnie
Publikator danych oparty na STTP w openPDC akceptuje połączenia sieciowe bez uwierzytelniania w swojej domyślnej konfiguracji. Nieuwierzytelniony atakujący z sieci może połączyć się z tym interfejsem i wymieniać z nim dane.
- CVE-2026-105281Wysokie
Wewnętrzny publikator danych w openPDC domyślnie akceptuje połączenia sieciowe bez uwierzytelniania. Nieuwierzytelniony atakujący sieciowy może połączyć się z tym interfejsem i pobrać pełną topologię urządzeń i pomiarów systemu.
- CVE-2026-101022Średnie
Funkcja połączenia Modbus w openPDC akceptuje adres i port docelowy podane przez wywołującego bez ograniczeń dotyczących wewnętrznych hostów. Uwierzytelniony użytkownik może próbować połączeń z dowolnymi wewnętrznymi adresami, ujawniając, które są osiągalne. Powtarzane próby mogą umożliwić mapowanie sieci wewnętrznej.
Oryginalny opis (angielski, źródło NVD)
The published Docker image for openPDC includes a fixed administrative credential with no forced change on first use. An attacker with network access to the management interface can authenticate using this credential and gain full administrative control of the application.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS