Deserialisierung nicht vertrauenswürdiger Daten in Inductive Automation Ignition (RCE)

Beschreibung

In Inductive Automation Ignition besteht eine Schwachstelle in der Klasse ModuleInvoke. Aufgrund fehlender Validierung der vom Benutzer gelieferten Daten kommt es zur Deserialisierung nicht vertrauenswürdiger Daten. Ein authentifizierter, entfernter Angreifer kann dies ausnutzen, um Schadcode im Kontext von SYSTEM auszuführen. CVSS-Basiswert: 8.8 (Hoch).

Changelog

1. 2026-07-20 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Laravel (inkl. Ignition und Livewire)

• Laravel Livewire Code Injection KEV CVE-2025-54068
• Laravel – Deserialization of Untrusted Data KEV CVE-2018-15133
• Laravel Ignition – File Upload Vulnerability KEV CVE-2021-3129
• Laravel Reverb: unsichere Deserialisierung aus Redis-Kanal ermöglicht RCE CVE-2026-23524
• Livewire Filemanager – Fehlende MIME-Prüfung ermöglicht Remote Code Execution CVE-2025-14894
• Umgehung der Dateivalidierung im Laravel-Framework CVE-2025-27515