CVE-2026-85479
ŚrednieCVSS 5.3Streszczenie
Publikator danych oparty na STTP w openPDC akceptuje połączenia sieciowe bez uwierzytelniania w swojej domyślnej konfiguracji. Nieuwierzytelniony atakujący z sieci może połączyć się z tym interfejsem i wymieniać z nim dane.
Ocena ryzyka
Brak uwierzytelniania pozwala nieautoryzowanym podmiotom na dostęp do danych i potencjalnie ich modyfikację, co może prowadzić do naruszenia integralności danych lub zakłócenia działania systemu. Jest to poważne ryzyko w środowiskach produkcyjnych.
Rekomendacja
Skonfiguruj uwierzytelnianie dla interfejsu STTP w openPDC. Ogranicz dostęp sieciowy do tego interfejsu tylko do zaufanych źródeł.
Inne podatności w openPDC
Zobacz wszystkie- CVE-2026-105281Wysokie
Wewnętrzny publikator danych w openPDC domyślnie akceptuje połączenia sieciowe bez uwierzytelniania. Nieuwierzytelniony atakujący sieciowy może połączyć się z tym interfejsem i pobrać pełną topologię urządzeń i pomiarów systemu.
- CVE-2026-101022Średnie
Funkcja połączenia Modbus w openPDC akceptuje adres i port docelowy podane przez wywołującego bez ograniczeń dotyczących wewnętrznych hostów. Uwierzytelniony użytkownik może próbować połączeń z dowolnymi wewnętrznymi adresami, ujawniając, które są osiągalne. Powtarzane próby mogą umożliwić mapowanie sieci wewnętrznej.
- CVE-2026-105278Krytyczne
Opublikowany obraz Docker dla openPDC zawiera stałe poświadczenia administracyjne, które nie są wymuszane do zmiany przy pierwszym użyciu. Atakujący z dostępem sieciowym do interfejsu zarządzania może uwierzytelnić się tymi poświadczeniami i uzyskać pełną kontrolę administracyjną nad aplikacją.
Oryginalny opis (angielski, źródło NVD)
The STTP-based data publisher on openPDC accepts network connections without authentication in its default configuration. An unauthenticated network attacker can connect to this interface and exchange data with it.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS