CVE-2026-60114
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 25 - wyżej niż 25% wszystkich znanych CVE
Streszczenie
Platforma Sustainable Irrigation Platform (SIP) do wersji 5.2.16 zawiera podatność na path traversal, która umożliwia atakującym z dostępem do funkcji przywracania zapisywanie plików w dowolnych lokalizacjach poprzez przesyłanie spreparowanych plików kopii zapasowej JSON z niewalidowanymi kluczami używanymi do konstruowania ścieżek plików. Atakujący mogą wykorzystać brak walidacji kluczy w procesie przywracania JSON, w połączeniu z brakiem wymaganego hasła w domyślnej konfiguracji lub domyślnym hasłem 'opendoor', aby zapisywać dowolne pliki JSON poza docelowym katalogiem danych.
Ocena ryzyka
Ryzyko dla organizacji obejmuje możliwość zdalnego wykonania kodu lub eskalacji uprawnień poprzez nadpisanie krytycznych plików konfiguracyjnych lub skryptów, co może prowadzić do całkowitego przejęcia systemu SIP i naruszenia integralności danych.
Rekomendacja
Zaleca się natychmiastową aktualizację Sustainable Irrigation Platform do wersji nowszej niż 5.2.16, wdrożenie silnego hasła dla funkcji przywracania oraz walidację wszystkich kluczy JSON przed ich użyciem do konstruowania ścieżek plików.
Inne podatności w Sustainable Irrigation Platform
Zobacz wszystkie- CVE-2026-58479Krytyczne
Platforma Sustainable Irrigation Platform (SIP) do wersji 5.2.16 zawiera podatność na wstrzykiwanie poleceń w opcjonalnym pluginie cli_control. Nieuwierzytelniony atakujący lub poprzez CSRF może przechować złośliwy ładunek przez endpoint HTTP pluginu, a następnie aktywować stację nawadniającą, co prowadzi do wykonania dowolnych poleceń systemowych na hoście.
- CVE-2026-58478Średnie
Platforma Sustainable Irrigation Platform (SIP) do wersji 5.2.16 zawiera podatność na fałszowanie żądań po stronie serwera (SSRF). Nieuwierzytelniony atakujący może wykorzystać brak walidacji docelowego adresu URL oraz domyślne hasło 'opendoor' do wysyłania ślepych żądań HTTP do dowolnych hostów wewnętrznych lub zewnętrznych, gdy zainstalowana jest opcjonalna wtyczka Node-RED.
- CVE-2026-58477Wysokie
Platforma Sustainable Irrigation Platform (SIP) do wersji 5.2.16 zawiera podatność na masowe przypisanie, która pozwala nieuwierzytelnionym atakującym nadpisywać wrażliwe ustawienia konfiguracyjne poprzez dostarczanie dowolnych nazw parametrów w żądaniach HTTP. Atakujący mogą manipulować parametrami odpowiadającymi wrażliwym wartościom, takim jak hasło i port nasłuchu, a także osiągnąć ten sam rezultat poprzez fałszerstwo żądania międzywitrynowego z powodu braku odpowiedniej walidacji żądań.
- CVE-2026-58476Wysokie
Podatność CSRF w Sustainable Irrigation Platform (SIP) do wersji 5.2.16 umożliwia atakującemu wykonanie działań administracyjnych zmieniających stan systemu poprzez nakłonienie zalogowanego administratora do odwiedzenia złośliwej strony. Ataki są możliwe przez żądania HTTP GET bez walidacji tokena CSRF ani weryfikacji pochodzenia, a domyślna konfiguracja (brak hasła, domyślne 'opendoor') dodatkowo naraża punkty końcowe na nieuwierzytelnionych użytkowników.
- CVE-2026-58475Średnie
Platforma Sustainable Irrigation Platform (SIP) do wersji 5.2.16 zawiera podatność na trwałe skryptowanie między witrynami (XSS). Nieuwierzytelnieni atakujący mogą wstrzyknąć dowolny kod JavaScript poprzez przesłanie złośliwych ładunków w nazwach programów w żądaniach HTTP.
Oryginalny opis (angielski, źródło NVD)
Sustainable Irrigation Platform (SIP) through version 5.2.16 contains a path traversal vulnerability that allows attackers with access to the restore functionality to write files to arbitrary locations by uploading crafted JSON backup files with unvalidated keys used to construct file paths. Attackers can exploit the lack of key validation in the JSON restore process, combined with the absence of a required passphrase in the default configuration or the default passphrase 'opendoor', to write arbitrary JSON files outside the intended data directory.