Inductive Automation Ignition: Remote Code Execution über OPC-UA-Quick-Client-Cross-Domain-Policy

Beschreibung

Der OPC UA Quick Client von Inductive Automation Ignition weist laut Quelle eine zu permissive Cross-Domain-Policy auf, die entfernten Angreifern die Ausführung beliebigen Codes auf betroffenen Installationen erlaubt. Authentifizierung ist zwar erforderlich, der bestehende Authentifizierungsmechanismus lässt sich jedoch umgehen. Ursache ist das Fehlen geeigneter Content-Security-Policy-Header in der Webserver- Konfiguration; in Kombination mit weiteren Schwachstellen kann ein Angreifer Code im Kontext von SYSTEM ausführen (ZDI-CAN-20539). CVSS- Basiswert: 7.2 (Hoch).

Changelog

1. 2026-08-02 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Laravel (inkl. Ignition und Livewire)

• Laravel Livewire Code Injection KEV CVE-2025-54068
• Laravel – Deserialization of Untrusted Data KEV CVE-2018-15133
• Laravel Ignition – File Upload Vulnerability KEV CVE-2021-3129
• Laravel Reverb: unsichere Deserialisierung aus Redis-Kanal ermöglicht RCE CVE-2026-23524
• Livewire Filemanager – Fehlende MIME-Prüfung ermöglicht Remote Code Execution CVE-2025-14894
• Umgehung der Dateivalidierung im Laravel-Framework CVE-2025-27515