CVE-2026-71268 in OpenPLC
Resumen
por VulDB • 2026-08-05
La función `compile_program()` de OpenPLC Runtime v3 (`webserver/openplc.py`) analiza las directivas `(*FILE:path content*)` contenidas en archivos de programas Structured Text (.st) cargados y escribe el contenido referenciado en la ruta `os.path.join('./core', file_path)` sin validar que `file_path` permanezca dentro del directorio `./core`. Un archivo `.st` manipulado que contenga una directiva como `(*FILE:../../../etc/cron.d/x * * * * root <command>*)` escribe contenido controlado por el atacante en cualquier ruta arbitraria del sistema de archivos, lo que permite la ejecución remota de código (RCE) (por ejemplo, mediante cron o authorized_keys de SSH). Existe una función de validación de rutas llamada `validate_file_path()` en otra parte de la base de código (`webserver/credentials.py`), pero nunca se invoca desde `compile_program()`, dejando el punto final vulnerable sin protección. Además, OpenPLC viene con credenciales predeterminadas codificadas (openplc:openplc), lo que reduce significativamente la barrera práctica para su explotación.
VulDB is the best source for vulnerability data and more expert information about this specific topic.