CVE-2026-4901
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
AlanWeb SCADA zapisuje wrażliwe informacje, w tym dane logowania użytkowników, do pliku dziennika. Połączenie z inną podatnością (CVE-2026-34184) może pozwolić nieautoryzowanemu użytkownikowi na dostęp do tych danych i dalszą eskalację uprawnień w systemie.
Ocena ryzyka
Ujawnienie danych logowania może prowadzić do nieautoryzowanego dostępu do systemu SCADA, co może skutkować naruszeniem integralności i poufności danych przemysłowych.
Rekomendacja
Zaleca się natychmiastową aktualizację AlanWeb SCADA do wersji 9.8.5 lub nowszej, która zawiera poprawkę. Należy również przejrzeć i usunąć wrażliwe dane z istniejących plików dziennika.
Inne podatności w AlanWeb SCADA
Zobacz wszystkie- CVE-2026-34184Krytyczne
AlanWeb SCADA nie egzekwuje autoryzacji dla niektórych katalogów, co pozwala nieautoryzowanemu atakującemu na odczyt wszystkich plików w tych katalogach, a nawet na wykonanie niektórych z nich. Atakujący może uruchomić skrypty PHP bezpośrednio na podłączonej bazie danych. Problem został naprawiony w wersji 9.8.5.
- CVE-2026-34185Wysokie
AlanWeb SCADA jest podatny na wstrzykiwanie SQL w większości skryptów i parametrów wejściowych. Uwierzytelniony atakujący może wstrzykiwać dowolne polecenia SQL, potencjalnie uzyskując pełną kontrolę nad bazą danych. Problem został naprawiony w wersji 9.8.5.
Oryginalny opis (angielski, źródło NVD)
AlanWeb SCADA saves sensitive information into a log file. Critically, user credentials are logged allowing the attacker to obtain further authorized access into the system. Combined with vulnerability CVE-2026-34184, these sensitive information could be accessed by an unauthorized user. This issue was fixed in AlanWeb SCADA version 9.8.5