PT-2026-68141
CVE-2026-71268
·
تاريخ النشر
2026-08-05
·
تاريخ التحديث
2026-08-10
الوصف من
CVSS 3.1
9.9
حرجةالمقاييسAV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
OpenPLC Runtime الإصدار 3
الوصف
تفشل الدالة
compile program() الموجودة في ملف webserver/openplc.py في التحقق من صحة المتغير file path عند تحليل توجيهات (*FILE:path content*) الواردة في ملفات البرامج من نوع النص المنظم (.st) التي تم تحميلها. وهذا يسمح للمهاجم باستخدام تسلسلات اجتياز المسار لكتابة محتوى تعسفي إلى أي مسار في نظام الملفات خارج الدليل المقصود ./core، مما يؤدي إلى تنفيذ التعليمات البرمجية عن بُعد من خلال آليات مثل مهام cron أو مفاتيح SSH المصرح بها. كما يحتوي البرنامج على بيانات اعتماد افتراضية مبرمجة بشكل ثابت (openplc:openplc)، مما يسهل الاستغلال.التوصيات
تحديث OpenPLC Runtime الإصدار 3 إلى إصدار تقوم فيه الدالة
compile program() باستدعاء الدالة validate file path() بشكل صحيح لضمان بقاء file path ضمن الدليل المقصود.تغيير بيانات الاعتماد الافتراضية من openplc:openplc إلى كلمات مرور فريدة وقوية.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾