Inductive Automation Ignition: Deserialisierung ermöglicht Remote Code Execution

Beschreibung

Eine Schwachstelle in der Methode ResponseParser von Inductive Automation Ignition erlaubt entfernten Angreifern die Ausführung beliebigen Codes. Der Fehler beruht auf der fehlenden Validierung von Nutzerdaten, was zu einer Deserialisierung nicht vertrauenswürdiger Daten führt; zur Ausnutzung muss das Ziel eine Verbindung zu einem schaedlichen Server herstellen. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: die vom Hersteller bereitgestellten Sicherheitsupdates einspielen.

Changelog

1. 2026-07-20 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Laravel (inkl. Ignition und Livewire)

• Laravel Livewire Code Injection KEV CVE-2025-54068
• Laravel – Deserialization of Untrusted Data KEV CVE-2018-15133
• Laravel Ignition – File Upload Vulnerability KEV CVE-2021-3129
• Laravel Reverb: unsichere Deserialisierung aus Redis-Kanal ermöglicht RCE CVE-2026-23524
• Livewire Filemanager – Fehlende MIME-Prüfung ermöglicht Remote Code Execution CVE-2025-14894
• Umgehung der Dateivalidierung im Laravel-Framework CVE-2025-27515