FICHE CVE

CVE-2025-34226

Publiée le 2025-10-03 · Dernière modification le 2026-10-08

🇫🇷 EN BREF

OpenPLC Runtime v3 est affecté par un défaut de validation des entrées qui permet à un utilisateur disposant d'une authentification de bas niveau de corrompre la base de données des programmes via un téléchargement malformé. Bien que le système reste opérationnel immédiatement après l'attaque, il ne pourra plus démarrer lors du prochain redémarrage, entraînant un déni de service persistant dont la résolution nécessite une réinitialisation d'usine complète. Cette action peut être exécutée à distance via le réseau et ne nécessite aucune interaction particulière de l'utilisateur.

CVSS 4.07.1 ÉLEVÉE

Type de faiblesse

Validation des entrées insuffisante · CWE-20 CWE-664

Publiée2025-10-03

Dernière modification2026-10-08

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisFaibles

Interaction utilisateurAucune

Confidentialité (système vulnérable)Aucune

Intégrité (système vulnérable)Faible

Disponibilité (système vulnérable)Élevée

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

OpenPLC Runtime v3 contains an input validation flaw in the /upload-program-action endpoint: the epoch_time field supplied during program uploads is not validated and can be crafted to induce corruption of the programs database. After a successful malformed upload the runtime continues to operate until a restart; on restart the runtime can fail to start because of corrupted database entries, resulting in persistent denial of service requiring complete rebase of the product to recover. This vulnerability was remediated by commit 095ee09.