CVE-2026-77393

WysokieCVSS 8.8

Opublikowano: 04/09/2026(UTC)Zaktualizowano: 08/09/2026(UTC)Przetłumaczono: 05/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.51%

Percentyl 41 - wyżej niż 41% wszystkich znanych CVE

Streszczenie

W Ignition 8.1.53 i wcześniejszych ustawienie bramy "Create Project Role(s)" było domyślnie puste, co pozwalało każdemu uwierzytelnionemu użytkownikowi na tworzenie projektów (jeśli może wykonywać skrypty bramy). Wersja 8.1.54 ogranicza tworzenie projektów do sesji Designer i nie polega już na tym ustawieniu. Seria 8.3 nie jest dotknięta.

Ocena ryzyka

Uwierzytelnieni użytkownicy bez odpowiednich uprawnień mogą tworzyć projekty, co może prowadzić do nieautoryzowanych zmian w systemie, potencjalnie naruszając integralność i kontrolę dostępu. Może to być wykorzystane do eskalacji uprawnień lub nieautoryzowanych działań.

Rekomendacja

Zaleca się aktualizację Ignition do wersji 8.1.54 lub nowszej, która zawiera poprawkę ograniczającą tworzenie projektów do sesji Designer.

Inne podatności w Ignition

CVE-2025-13911Średnie
Ignition firmy Inductive Automation, przy domyślnych ustawieniach konta usługi systemowej, może umożliwić podniesienie uprawnień i wykonanie kodu na hoście poprzez funkcję przywracania kopii zapasowej bramy. Uwierzytelniony użytkownik z uprawnieniami administratora bramy może zaimportować złośliwy plik kopii zapasowej (.gwbk) zawierający spreparowane zasoby projektu, skrypty lub moduły, co prowadzi do wykonania kodu na systemie hosta.

Oryginalny opis (angielski, źródło NVD)

In Ignition 8.1.53 and earlier, the Gateway "Create Project Role(s)" setting shipped blank, which permitted any authenticated user to create projects (if they can execute gateway scripts). Ignition 8.1.54 restricts project creation to Designer sessions and no longer relies on this setting. The 8.3 series is not affected.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS