CVE-2026-1697
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 2 - wyżej niż 2% wszystkich znanych CVE
Streszczenie
W aplikacjach webowych GraphicalData i WebClient oprogramowania PcVue w wersjach od 12.0.0 do 16.3.3 brakuje atrybutów Secure i SameSite w ciasteczkach. Umożliwia to ataki przechwytywania sesji oraz ataki CSRF.
Ocena ryzyka
Brak tych atrybutów naraża organizację na kradzież sesji użytkowników oraz nieautoryzowane operacje w kontekście ich sesji, co może prowadzić do wycieku danych lub przejęcia kont.
Rekomendacja
Należy zaktualizować PcVue do wersji nowszej niż 16.3.3, w której dodano brakujące atrybuty Secure i SameSite. Jeśli aktualizacja nie jest możliwa, skonfiguruj serwer WWW tak, aby wymuszał te atrybuty.
Inne podatności w PcVue
Zobacz wszystkie- CVE-2020-26867Krytyczne
Podatność w systemie PcVue przed wersją 12.0.17 wynika z deserializacji niezaufanych danych, co może umożliwić atakującemu zdalne wykonanie dowolnego kodu na serwerze zaplecza webowego i mobilnego.
- CVE-2011-4042Wysokie
Nieokreślona kontrolka ActiveX w pliku SVUIGrd.ocx w oprogramowaniu ARC Informatique PcVue w wersjach od 6.0 do 10.0, FrontVue i PlantVue umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez użycie spreparowanego dokumentu HTML do przejęcia wskaźnika funkcji.
- CVE-2026-14868Średnie
Podatność w PcVue przed wersją 17.0.0 wynika z użycia zbyt słabego algorytmu szyfrowania do ochrony konfiguracji kont użytkowników wbudowanego katalogu. Lokalny atakujący może zmodyfikować istniejącą konfigurację i uzyskać uprzywilejowany dostęp do aplikacji.
- CVE-2026-14867Średnie
W projekcie PcVue w wersjach przed 17.0.0 poświadczenia wbudowanych użytkowników są przechowywane w niebezpieczny sposób w katalogu User. Lokalny atakujący może odczytać te poświadczenia. Konta Active Directory nie są podatne na tę lukę.
- CVE-2026-1698Średnie
Podatność ataku na nagłówek Host HTTP w aplikacjach WebClient i WebScheduler PcVue (wersje 15.0.0 do 16.3.3) umożliwia zdalnemu atakującemu wstrzyknięcie szkodliwych ładunków manipulujących działaniem serwera. Problem dotyczy konkretnych endpointów: /Authentication/ExternalLogin, /Authentication/AuthorizationCodeCallback oraz /Authentication/Logout.
- CVE-2026-1695Średnie
Podatność XSS w usługach OAuth PcVue (wersje 12.0.0–16.3.3) umożliwia zdalnemu atakującemu wstrzyknięcie złośliwego kodu na stronę błędu serwera OAuth. Atak wymaga nakłonienia uwierzytelnionego użytkownika do załadowania treści z zewnętrznej strony po nieudanym logowaniu.
- CVE-2026-1694Średnie
Podatność w PcVue (wersje 12.0.0–16.3.3) powoduje, że domyślna konfiguracja IIS i ASP.NET dodaje nagłówki HTTP, które nie są usuwane podczas wdrażania usług sieciowych dla funkcji WebVue, WebScheduler, TouchVue i SnapVue. Umożliwia to niepotrzebne ujawnianie poufnych informacji o konfiguracji serwera.
- CVE-2026-1693Wysokie
Podatność w PcVue polega na tym, że przepływ OAuth ROPC (Resource Owner Password Credentials) jest nadal używany przez webservices funkcji WebVue, WebScheduler, TouchVue i Snapvue w wersjach od 12.0.0 do 16.3.3, mimo że jest wycofany. Może to umożliwić zdalnemu atakującemu kradzież poświadczeń użytkownika.
- CVE-2026-1692Średnie
Brak walidacji pochodzenia w WebSocketach w interfejsach WebVue, WebScheduler, TouchVue i SnapVue oprogramowania PcVue (wersje 12.0.0–16.3.3) umożliwia zdalnemu atakującemu nakłonienie uwierzytelnionego użytkownika do odwiedzenia złośliwej strony. Podatność dotyczy tylko endpointów GraphicalData/js/signalR/connect i GraphicalData/js/signalR/reconnect.
- CVE-2022-4312Średnie
W PcVue w wersjach od 8.10 do 15.2.3 wykryto podatność polegającą na przechowywaniu wrażliwych informacji w postaci jawnego tekstu. Nieuprawniony użytkownik mający dostęp do plików konfiguracyjnych kont e-mail i SMS może odkryć poświadczenia konta SMTP oraz kod PIN karty SIM.
Oryginalny opis (angielski, źródło NVD)
The Secure and SameSite attribute are missing in the GraphicalData web services and WebClient web app of PcVue in version 12.0.0 through 16.3.3 included.