Vulnerabilidad en OpenPLC Runtime de Autonomy Logic (CVE-2025-34226)

Gravedad CVSS v4.0:

ALTA

Tipo:

CWE-20 Validación incorrecta de entrada

Fecha de publicación:

03/10/2025

Última modificación:

08/10/2026

Descripción

OpenPLC Runtime v3 contiene una falla de validación de entrada en el endpoint /upload-program-action: el campo epoch_time proporcionado durante las cargas de programas no se valida y puede ser manipulado para inducir la corrupción de la base de datos de programas. Después de una carga malformada exitosa, el runtime continúa operando hasta un reinicio; al reiniciar, el runtime puede fallar al iniciar debido a entradas de base de datos corruptas, lo que resulta en una denegación de servicio persistente que requiere la rebase completa del producto para recuperarse. Esta vulnerabilidad fue remediada por el commit 095ee09.

Impacto

Vector 4.0

CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:L/VA:H/SC:N/SI:N/SA:N CVSS v4.0 Severidad y Métricas:

Puntuación base: 7.10 ALTA
Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:L/VA:H/SC:N/SI:N/SA:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Attack Requirements (AT): Ninguno
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Confidentiality (VC): Ninguno
Integrity (VI): Bajo
Availability (VA): Alto
Confidentiality (SC): Ninguno
Integrity (SI): Ninguno
Availability (SA): Ninguno

Puntuación base 4.0

7.10

Gravedad 4.0

ALTA

Vulnerabilidad en OpenPLC Runtime de Autonomy Logic (CVE-2025-34226)

Descripción

Impacto

Referencias a soluciones, herramientas e información