CVE-2026-88020
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
Autonomy Logic OpenPLC 3 jest podatny na niewłaściwą neutralizację danych wejściowych podczas generowania strony internetowej, gdy interfejs webowy próbuje kierować program na podstawie parametru w ciągu zapytania bez kodowania.
Ocena ryzyka
Podatność może umożliwić atakującemu wstrzyknięcie złośliwego kodu lub manipulację działaniem interfejsu, co może prowadzić do nieautoryzowanego dostępu lub uszkodzenia systemu.
Rekomendacja
Zaleca się aktualizację OpenPLC do najnowszej wersji oraz stosowanie odpowiedniego kodowania i walidacji parametrów wejściowych.
Inne podatności w OpenPLC
Zobacz wszystkie- CVE-2026-31156Średnie
W OpenPLC v3 (commit 2c82b0e79c53f8c1f1458eee15fec173400d6e1a) wykryto podatność na wstrzykiwanie ścieżki. Binarny program skompilowany z glue_generator.cpp nie waliduje parametrów ścieżki pliku przekazywanych przez linię poleceń, co pozwala atakującemu na odczyt dowolnych plików.
- CVE-2025-53476Średnie
W funkcjonalności serwera ModbusTCP w OpenPLC w wersji a931181e8b81e36fadf7b74d5cba99b73c3f6d58 istnieje podatność typu odmowa usługi (DoS). Specjalnie spreparowana seria połączeń sieciowych może doprowadzić do tego, że serwer przestanie przetwarzać kolejne żądania Modbus. Atakujący może otworzyć serię połączeń TCP, aby wywołać tę podatność.
Oryginalny opis (angielski, źródło NVD)
Autonomy Logic OpenPLC 3 is susceptible to an improper neutralization of input during web page generation vulnerability when the web interface attempts to route the program based on a query string parameter with no encoding.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS