CVE-2026-58479
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 92 - wyżej niż 92% wszystkich znanych CVE
Streszczenie
Platforma Sustainable Irrigation Platform (SIP) do wersji 5.2.16 zawiera podatność na wstrzykiwanie poleceń w opcjonalnym pluginie cli_control. Nieuwierzytelniony atakujący lub poprzez CSRF może przechować złośliwy ładunek przez endpoint HTTP pluginu, a następnie aktywować stację nawadniającą, co prowadzi do wykonania dowolnych poleceń systemowych na hoście.
Ocena ryzyka
Ryzyko dla organizacji obejmuje całkowite przejęcie kontroli nad systemem SIP przez atakującego, co może prowadzić do naruszenia integralności danych, zakłócenia działania infrastruktury nawadniającej oraz potencjalnego wykorzystania hosta jako punktu wyjścia do dalszych ataków w sieci.
Rekomendacja
Zaleca się natychmiastową aktualizację platformy SIP do wersji nowszej niż 5.2.16, wyłączenie pluginu cli_control, jeśli nie jest niezbędny, oraz zmianę domyślnego hasła 'opendoor' na silne, unikalne hasło.
Inne podatności w Sustainable Irrigation Platform
Zobacz wszystkie- CVE-2026-60114Wysokie
Platforma Sustainable Irrigation Platform (SIP) do wersji 5.2.16 zawiera podatność na path traversal, która umożliwia atakującym z dostępem do funkcji przywracania zapisywanie plików w dowolnych lokalizacjach poprzez przesyłanie spreparowanych plików kopii zapasowej JSON z niewalidowanymi kluczami używanymi do konstruowania ścieżek plików. Atakujący mogą wykorzystać brak walidacji kluczy w procesie przywracania JSON, w połączeniu z brakiem wymaganego hasła w domyślnej konfiguracji lub domyślnym hasłem 'opendoor', aby zapisywać dowolne pliki JSON poza docelowym katalogiem danych.
- CVE-2026-58478Średnie
Platforma Sustainable Irrigation Platform (SIP) do wersji 5.2.16 zawiera podatność na fałszowanie żądań po stronie serwera (SSRF). Nieuwierzytelniony atakujący może wykorzystać brak walidacji docelowego adresu URL oraz domyślne hasło 'opendoor' do wysyłania ślepych żądań HTTP do dowolnych hostów wewnętrznych lub zewnętrznych, gdy zainstalowana jest opcjonalna wtyczka Node-RED.
- CVE-2026-58477Wysokie
Platforma Sustainable Irrigation Platform (SIP) do wersji 5.2.16 zawiera podatność na masowe przypisanie, która pozwala nieuwierzytelnionym atakującym nadpisywać wrażliwe ustawienia konfiguracyjne poprzez dostarczanie dowolnych nazw parametrów w żądaniach HTTP. Atakujący mogą manipulować parametrami odpowiadającymi wrażliwym wartościom, takim jak hasło i port nasłuchu, a także osiągnąć ten sam rezultat poprzez fałszerstwo żądania międzywitrynowego z powodu braku odpowiedniej walidacji żądań.
- CVE-2026-58476Wysokie
Podatność CSRF w Sustainable Irrigation Platform (SIP) do wersji 5.2.16 umożliwia atakującemu wykonanie działań administracyjnych zmieniających stan systemu poprzez nakłonienie zalogowanego administratora do odwiedzenia złośliwej strony. Ataki są możliwe przez żądania HTTP GET bez walidacji tokena CSRF ani weryfikacji pochodzenia, a domyślna konfiguracja (brak hasła, domyślne 'opendoor') dodatkowo naraża punkty końcowe na nieuwierzytelnionych użytkowników.
- CVE-2026-58475Średnie
Platforma Sustainable Irrigation Platform (SIP) do wersji 5.2.16 zawiera podatność na trwałe skryptowanie między witrynami (XSS). Nieuwierzytelnieni atakujący mogą wstrzyknąć dowolny kod JavaScript poprzez przesłanie złośliwych ładunków w nazwach programów w żądaniach HTTP.
Oryginalny opis (angielski, źródło NVD)
Sustainable Irrigation Platform (SIP) through version 5.2.16 contains a command injection vulnerability in the optional cli_control plugin that allows unauthenticated or cross-site request forgery attackers to execute arbitrary operating-system commands by storing a malicious payload via the plugin's HTTP endpoint. Attackers can trigger execution by activating the associated irrigation station, exploiting the absence of passphrase protection or the default passphrase 'opendoor', to achieve arbitrary command execution on the underlying host.