CVE-2026-58475
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
Platforma Sustainable Irrigation Platform (SIP) do wersji 5.2.16 zawiera podatność na trwałe skryptowanie między witrynami (XSS). Nieuwierzytelnieni atakujący mogą wstrzyknąć dowolny kod JavaScript poprzez przesłanie złośliwych ładunków w nazwach programów w żądaniach HTTP.
Ocena ryzyka
Atakujący może wykonać dowolny skrypt w przeglądarkach użytkowników przeglądających stronę, co może prowadzić do kradzieży sesji, przejęcia kont lub kradzieży danych. Ryzyko zwiększa brak wymaganego hasła lub użycie domyślnego hasła 'opendoor'.
Rekomendacja
Należy natychmiast zaktualizować platformę SIP do najnowszej wersji oraz zastosować odpowiednie kodowanie wyjścia dla nazw programów. Dodatkowo należy zmienić domyślne hasło 'opendoor' na silne, unikalne hasło.
Inne podatności w Sustainable Irrigation Platform
Zobacz wszystkie- CVE-2026-58479Krytyczne
Platforma Sustainable Irrigation Platform (SIP) do wersji 5.2.16 zawiera podatność na wstrzykiwanie poleceń w opcjonalnym pluginie cli_control. Nieuwierzytelniony atakujący lub poprzez CSRF może przechować złośliwy ładunek przez endpoint HTTP pluginu, a następnie aktywować stację nawadniającą, co prowadzi do wykonania dowolnych poleceń systemowych na hoście.
- CVE-2026-60114Wysokie
Platforma Sustainable Irrigation Platform (SIP) do wersji 5.2.16 zawiera podatność na path traversal, która umożliwia atakującym z dostępem do funkcji przywracania zapisywanie plików w dowolnych lokalizacjach poprzez przesyłanie spreparowanych plików kopii zapasowej JSON z niewalidowanymi kluczami używanymi do konstruowania ścieżek plików. Atakujący mogą wykorzystać brak walidacji kluczy w procesie przywracania JSON, w połączeniu z brakiem wymaganego hasła w domyślnej konfiguracji lub domyślnym hasłem 'opendoor', aby zapisywać dowolne pliki JSON poza docelowym katalogiem danych.
- CVE-2026-58478Średnie
Platforma Sustainable Irrigation Platform (SIP) do wersji 5.2.16 zawiera podatność na fałszowanie żądań po stronie serwera (SSRF). Nieuwierzytelniony atakujący może wykorzystać brak walidacji docelowego adresu URL oraz domyślne hasło 'opendoor' do wysyłania ślepych żądań HTTP do dowolnych hostów wewnętrznych lub zewnętrznych, gdy zainstalowana jest opcjonalna wtyczka Node-RED.
- CVE-2026-58477Wysokie
Platforma Sustainable Irrigation Platform (SIP) do wersji 5.2.16 zawiera podatność na masowe przypisanie, która pozwala nieuwierzytelnionym atakującym nadpisywać wrażliwe ustawienia konfiguracyjne poprzez dostarczanie dowolnych nazw parametrów w żądaniach HTTP. Atakujący mogą manipulować parametrami odpowiadającymi wrażliwym wartościom, takim jak hasło i port nasłuchu, a także osiągnąć ten sam rezultat poprzez fałszerstwo żądania międzywitrynowego z powodu braku odpowiedniej walidacji żądań.
- CVE-2026-58476Wysokie
Podatność CSRF w Sustainable Irrigation Platform (SIP) do wersji 5.2.16 umożliwia atakującemu wykonanie działań administracyjnych zmieniających stan systemu poprzez nakłonienie zalogowanego administratora do odwiedzenia złośliwej strony. Ataki są możliwe przez żądania HTTP GET bez walidacji tokena CSRF ani weryfikacji pochodzenia, a domyślna konfiguracja (brak hasła, domyślne 'opendoor') dodatkowo naraża punkty końcowe na nieuwierzytelnionych użytkowników.
Oryginalny opis (angielski, źródło NVD)
Sustainable Irrigation Platform (SIP) through version 5.2.16 contains a stored cross-site scripting vulnerability that allows unauthenticated attackers to inject arbitrary JavaScript by supplying malicious script payloads within program names submitted via HTTP requests. Attackers can exploit the lack of output encoding on rendered program names to execute arbitrary JavaScript in the browsers of any users viewing the affected page, with exploitation facilitated by the absence of a required passphrase or the default passphrase 'opendoor'.