FICHE CVE

CVE-2022-35873

Publiée le 2022-07-25 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

La version 8.1.15 d'Inductive Automation Ignition est vulnérable à l'exécution de code à distance en raison d'une faille dans le traitement des fichiers ZIP. Un attaquant peut obtenir des privilèges complets au niveau SYSTEM sur votre serveur en incitant un utilisateur autorisé à ouvrir un fichier malveillant ou à visiter une page web piégée. Bien qu'aucune authentification ne soit requise pour déclencher la faille, l'attaque dépend entièrement de l'interaction d'un utilisateur avec le contenu malveillant.

CVSS 3.17.8 ÉLEVÉE

Type de faiblesse

CWE-356

Publiée2022-07-25

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueLocal

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurRequise

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

Description officielle du NVD (en anglais)

This vulnerability allows remote attackers to execute arbitrary code on affected installations of Inductive Automation Ignition 8.1.15 (b2022030114). User interaction is required to exploit this vulnerability in that the target must visit a malicious page or open a malicious file. The specific flaw exists within the processing of ZIP files. Crafted data in a ZIP file can cause the application to execute arbitrary Python scripts. The user interface fails to provide sufficient indication of the hazard. An attacker can leverage this vulnerability to execute code in the context of SYSTEM. Was ZDI-CAN-16949.