CVE-2019-5170 in PFC200
Zusammenfassung
von VulDB • 27.05.2026
In der iocheckd-Dienstfunktion „I/O-Check“ der WAGO PFC 200-Firmware in der Version 03.02.02(14) besteht eine ausnutzbare Command-Injection-Schwachstelle. Eine speziell angefertigte XML-Cach-Datei, die an einem bestimmten Speicherort auf dem Gerät abgelegt wird, kann zur Einschleusung von OS-Befehlen verwendet werden. Ein Angreifer kann ein speziell angefertigtes Paket senden, um das Parsing dieser Cache-Datei auszulösen. Bei der Adresse 0x1e87c wird der aus der XML-Datei extrahierte Hostname-Wert als Argument für /etc/config-tools/change_hostname hostname=<Inhalt des hostname-Knotens> unter Verwendung von sprintf() verwendet. Dieser Befehl wird später durch einen Aufruf von system() ausgeführt.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.