CVE-2023-38122
Publiée le 2024-05-03 · Dernière modification le 2026-06-17
Les installations d'Inductive Automation Ignition sont affectées par une mauvaise configuration de la politique de domaine croisé et des en-têtes de sécurité du serveur web. Un attaquant distant peut exploiter cette faille pour exécuter du code arbitraire avec les privilèges SYSTEM sur la machine hôte. Bien que la vulnérabilité nécessite techniquement des privilèges de haut niveau, le mécanisme d'authentification peut être contourné, rendant l'attaque relativement simple à réaliser via le réseau.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Inductive Automation Ignition OPC UA Quick Client Permissive Cross-domain Policy Remote Code Execution Vulnerability. This vulnerability allows remote attackers to execute arbitrary code on affected installations of Inductive Automation Ignition. Although authentication is required to exploit this vulnerability, the existing authentication mechanism can be bypassed. The specific flaw exists within the configuration of the web server. The issue results from the lack of appropriate Content Security Policy headers. An attacker can leverage this in conjunction with other vulnerabilities to execute code in the context of SYSTEM. Was ZDI-CAN-20539.