CVE-2026-9128
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
W Studio 5000 Logix Designer wykryto podatność umożliwiającą wykonanie kodu z powodu niecytowanych ścieżek w konfiguracji narzędzi zewnętrznych. Ścieżki do plików wykonywalnych zawierają spacje i nie są odpowiednio cytowane, co może prowadzić do uruchomienia złośliwego oprogramowania umieszczonego wcześniej w ścieżce wyszukiwania.
Ocena ryzyka
Atakujący może wykorzystać tę lukę do uruchomienia dowolnego kodu z uprawnieniami użytkownika aplikacji, co może prowadzić do przejęcia kontroli nad systemem, kradzieży danych lub instalacji złośliwego oprogramowania.
Rekomendacja
Należy niezwłocznie zaktualizować Studio 5000 Logix Designer do wersji, w której poprawiono cytowanie ścieżek, oraz sprawdzić konfigurację narzędzi zewnętrznych pod kątem niecytowanych ścieżek.
Inne podatności w Studio 5000 Logix Designer
Zobacz wszystkie- CVE-2026-9127Wysokie
W Studio 5000 Logix Designer wykryto podatność zdalnego wykonania kodu z powodu nieprawidłowej autoryzacji pliku konfiguracyjnego. Każdy uwierzytelniony użytkownik może zmienić ścieżki zewnętrznych narzędzi skonfigurowanych w aplikacji. Atakujący może podmienić konfigurację na złośliwy plik wykonywalny, co prowadzi do wykonania kodu po interakcji użytkownika z funkcją zewnętrznych narzędzi.
- CVE-2026-9108Wysokie
W produkcie Studio 5000 Logix Designer wykryto podatność polegającą na nieprawidłowym ograniczaniu ścieżek plików w projektach ACD. Oprogramowanie nie sprawdza ani nie weryfikuje nazw plików osadzonych w strukturze pliku ACD podczas otwierania projektu, co umożliwia sekwencje przejścia ścieżki. Wykorzystanie tej luki może pozwolić atakującemu na zapis dowolnych plików w kontrolowanych lokalizacjach, potencjalnie prowadząc do wykonania kodu.
Oryginalny opis (angielski, źródło NVD)
A code execution security issue exists within Studio 5000 Logix Designer® due to an unquoted search path in the External Tools configuration. The executable paths specified in the external tools configuration file are not properly quoted, and because these paths contain spaces, the operating system may resolve them to unintended executables placed earlier in the search order. If exploited, an attacker could plant a malicious executable in a location within the search path, resulting in arbitrary code execution with the same permissions of the user running the application.