CVE-2026-105281
WysokieCVSS 7.5Streszczenie
Wewnętrzny publikator danych w openPDC domyślnie akceptuje połączenia sieciowe bez uwierzytelniania. Nieuwierzytelniony atakujący sieciowy może połączyć się z tym interfejsem i pobrać pełną topologię urządzeń i pomiarów systemu.
Ocena ryzyka
Atakujący może uzyskać szczegółowe informacje o infrastrukturze i topologii systemu, co może ułatwić dalsze ataki. Wpływa to na poufność danych systemu openPDC.
Rekomendacja
Skonfiguruj uwierzytelnianie dla wewnętrznego publikatora danych w openPDC lub ogranicz dostęp sieciowy do tego interfejsu. Sprawdź, czy domyślna konfiguracja nie jest używana w środowisku produkcyjnym.
Inne podatności w openPDC
Zobacz wszystkie- CVE-2026-85479Średnie
Publikator danych oparty na STTP w openPDC akceptuje połączenia sieciowe bez uwierzytelniania w swojej domyślnej konfiguracji. Nieuwierzytelniony atakujący z sieci może połączyć się z tym interfejsem i wymieniać z nim dane.
- CVE-2026-101022Średnie
Funkcja połączenia Modbus w openPDC akceptuje adres i port docelowy podane przez wywołującego bez ograniczeń dotyczących wewnętrznych hostów. Uwierzytelniony użytkownik może próbować połączeń z dowolnymi wewnętrznymi adresami, ujawniając, które są osiągalne. Powtarzane próby mogą umożliwić mapowanie sieci wewnętrznej.
- CVE-2026-105278Krytyczne
Opublikowany obraz Docker dla openPDC zawiera stałe poświadczenia administracyjne, które nie są wymuszane do zmiany przy pierwszym użyciu. Atakujący z dostępem sieciowym do interfejsu zarządzania może uwierzytelnić się tymi poświadczeniami i uzyskać pełną kontrolę administracyjną nad aplikacją.
Oryginalny opis (angielski, źródło NVD)
The internal data publisher on openPDC accepts network connections without authentication in its default configuration. An unauthenticated network attacker can connect to this interface and retrieve the complete device and measurement topology of the system.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS