Saltar al contenido
DUPIN
ALERTAS · EN VIVO
Contacto

VULNERABILIDADDetectada 13 OCT · 09:24

CVE-2026-89197 Inyección SQL en RUGGEDCOM CROSSBOW

Una falla en la que los dispositivos afectados no validan ni sanitizan correctamente la entrada en el campo Value de las condiciones de notificación procesadas durante la configuración de Notification Profile. Esto podría permitir a un atacante autenticado con privilegios específicos ejecutar comandos SQL arbitrarios en la base de datos subyacente. Afecta a todas las versiones anteriores a V6.0.

8.8ALTA

CVSS 3.1

  • CVSS 4.08.7 · alta
  • Probabilidad de explotación0,4 %
  • Explotada activamenteNo confirmada
  • Exploit públicoNo conocido

Afectados

  • Siemens RUGGEDCOM CROSSBOW

    hasta antes de V6.0

Qué hacer

  1. Verificá si usás RUGGEDCOM CROSSBOW y en qué versión.
  2. Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
  3. Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.

Calculadora CVSS

CVSS 3.1 · 8.8 ALTA

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

  • Vector de ataqueRed
  • Complejidad del ataqueBaja
  • Privilegios requeridosBajos
  • Interacción del usuarioNinguna
  • AlcanceSin cambio
  • ConfidencialidadAlta
  • IntegridadAlta
  • DisponibilidadAlta

CVSS 4.0 · 8.7 ALTA

CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

  • Vector de ataqueRed
  • Complejidad del ataqueBaja
  • Requisitos del ataqueNinguno
  • Privilegios requeridosBajos
  • Interacción del usuarioNinguna
  • Confidencialidad (sistema vulnerable)Alta
  • Integridad (sistema vulnerable)Alta
  • Disponibilidad (sistema vulnerable)Alta
  • Confidencialidad (sistemas posteriores)Ninguna
  • Integridad (sistemas posteriores)Ninguna
  • Disponibilidad (sistemas posteriores)Ninguna

Descripción original

A vulnerability has been identified in RUGGEDCOM CROSSBOW (All versions < V6.0). Affected devices do not properly validate or sanitize input in the Value field of notification conditions processed during the Notification Profile configuration. This could allow an authenticated attacker with specific privileges to execute arbitrary SQL commands on the underlying database.

Referencias (1)

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.