CVE-2026-65310

WysokieCVSS 7.5

Opublikowano: 31/07/2026(UTC)Zaktualizowano: 28/08/2026(UTC)Przetłumaczono: 31/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.32%

Percentyl 24 - wyżej niż 24% wszystkich znanych CVE

Streszczenie

ANDRITZ HIPASE-250 (dawniej 250 SCALA) w domyślnej konfiguracji udostępnia swój endpoint danych i konfiguracji bez uwierzytelniania i z permisywnym CORS. Nieuwierzytelniony atakujący z dostępem sieciowym może odczytać bieżące wartości procesowe i konfigurację serwera.

Ocena ryzyka

Atakujący może uzyskać poufne dane procesowe i konfiguracyjne, co może prowadzić do naruszenia bezpieczeństwa procesów przemysłowych.

Rekomendacja

Należy skonfigurować uwierzytelnianie dla endpointów danych i konfiguracji oraz ograniczyć dostęp sieciowy tylko do zaufanych hostów.

Inne podatności w HIPASE-250

CVE-2026-65313Wysokie
Skrypt provisioning używany podczas instalacji stacji roboczych inżynieryjnych HIPASE-250 (dawniej 250 SCALA) ustawia stałe, zakodowane na stałe hasło x11vnc. Ponieważ to samo hasło jest stosowane do każdej stacji roboczej, atakujący z dostępem do sąsiedniej sieci, znając hasło, może uzyskać dostęp VNC do podatnych stacji.

Oryginalny opis (angielski, źródło NVD)

ANDRITZ HIPASE-250 (formerly 250 SCALA), in the default configuration of affected versions, exposes its data and configuration endpoint without any authentication and permissive CORS on every response. An unauthenticated attacker with network access can read live process values and server configuration.