Inductive Automation Ignition: Deserialisierung ungeprüfter Daten ermöglicht RCE

Beschreibung

In Inductive Automation Ignition besteht eine Schwachstelle durch Deserialisierung nicht vertrauenswürdiger Daten in der Klasse ParameterVersionJavaSerializationCodec, die entfernten Angreifern die Ausführung von beliebigem Code erlaubt. Ursache ist die fehlende ordnungsgemässe Validierung benutzergesteuerter Daten. Eine Authentifizierung ist zur Ausnutzung nicht erforderlich; der Code kann im Kontext von SYSTEM ausgeführt werden. CVSS-Basiswert: 9.8 (Kritisch).

Changelog

1. 2026-07-20 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Laravel (inkl. Ignition und Livewire)

• Laravel Livewire Code Injection KEV CVE-2025-54068
• Laravel – Deserialization of Untrusted Data KEV CVE-2018-15133
• Laravel Ignition – File Upload Vulnerability KEV CVE-2021-3129
• Laravel Reverb: unsichere Deserialisierung aus Redis-Kanal ermöglicht RCE CVE-2026-23524
• Livewire Filemanager – Fehlende MIME-Prüfung ermöglicht Remote Code Execution CVE-2025-14894
• Umgehung der Dateivalidierung im Laravel-Framework CVE-2025-27515