CVE-2023-46281
Publiée le 2023-12-12 · Dernière modification le 2026-06-17
Plusieurs suites logicielles industrielles de Siemens, notamment TIA Portal et Opcenter, sont affectées par une politique de partage de ressources cross-origine (CORS) trop permissive dans leurs interfaces web. Un attaquant distant peut exploiter cette faille en incitant un administrateur authentifié à visiter un site web malveillant, ce qui pourrait alors déclencher des actions non autorisées ou permettre le vol de données sensibles du système. Cela nécessite un accès réseau ainsi qu'une interaction active de l'utilisateur, bien que la complexité technique pour exécuter l'attaque soit relativement élevée.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
A vulnerability has been identified in Opcenter Execution Foundation (All versions < V2407), Opcenter Quality (All versions < V2312), SIMATIC PCS neo (All versions < V4.1), SINEC NMS (All versions < V2.0 SP1), Totally Integrated Automation Portal (TIA Portal) V14 (All versions), Totally Integrated Automation Portal (TIA Portal) V15.1 (All versions), Totally Integrated Automation Portal (TIA Portal) V16 (All versions), Totally Integrated Automation Portal (TIA Portal) V17 (All versions < V17 Update 8), Totally Integrated Automation Portal (TIA Portal) V18 (All versions < V18 Update 3). When accessing the UMC Web-UI from affected products, UMC uses an overly permissive CORS policy. This could allow an attacker to trick a legitimate user to trigger unwanted behavior.