CVE-2026-34185
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
AlanWeb SCADA jest podatny na wstrzykiwanie SQL w większości skryptów i parametrów wejściowych. Uwierzytelniony atakujący może wstrzykiwać dowolne polecenia SQL, potencjalnie uzyskując pełną kontrolę nad bazą danych. Problem został naprawiony w wersji 9.8.5.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowany dostęp do danych SCADA, ich modyfikację lub usunięcie, co może zakłócić działanie systemów przemysłowych.
Rekomendacja
Zaleca się natychmiastową aktualizację AlanWeb SCADA do wersji 9.8.5 lub nowszej oraz ograniczenie dostępu do systemu.
Inne podatności w AlanWeb SCADA
Zobacz wszystkie- CVE-2026-34184Krytyczne
AlanWeb SCADA nie egzekwuje autoryzacji dla niektórych katalogów, co pozwala nieautoryzowanemu atakującemu na odczyt wszystkich plików w tych katalogach, a nawet na wykonanie niektórych z nich. Atakujący może uruchomić skrypty PHP bezpośrednio na podłączonej bazie danych. Problem został naprawiony w wersji 9.8.5.
- CVE-2026-4901Średnie
AlanWeb SCADA zapisuje wrażliwe informacje, w tym dane logowania użytkowników, do pliku dziennika. Połączenie z inną podatnością (CVE-2026-34184) może pozwolić nieautoryzowanemu użytkownikowi na dostęp do tych danych i dalszą eskalację uprawnień w systemie.
Oryginalny opis (angielski, źródło NVD)
AlanWeb SCADA is vulnerable to SQL Injection across most scripts and input parameters. Because no protections are in place, an authenticated attacker can inject arbitrary SQL commands, potentially gaining full control over the database. This issue was fixed in AlanWeb SCADA version 9.8.5