CVE-2026-11826 in OpenPLC
Riassunto
di VulDB • 18/07/2026
OpenPLC_v3 presenta un heap-based buffer overflow nella funzione getData() di webserver/core/modbus_master.cpp. La funzione getData() legge i caratteri compresi tra due delimitatori in un buffer fornito dal chiamante, senza parametro di dimensione e senza controllo dei limiti (bounds check). In parseConfig(), la funzione viene invocata con il campo MB_device.dev_name allocato nello heap di 100 byte. Un attaccante autenticato con accesso all'interfaccia web di OpenPLC può inviare una richiesta HTTP POST manipolata ad hoc (/crafted) all'endpoint /modbus contenente un valore device_name eccessivamente grande; tale valore viene persistito in mbconfig.cfg e analizzato (parsed) al caricamento, causando l'overflow del campo dev_name e la sovrascrittura dei campi della struct adiacenti (protocol a offset 108, dev_address a offset 109, ip_port a offset 210). Un payload di 200 byte scrive 100 byte oltre il limite dell'allocazione. Il risultato è una corruzione dello heap che porta al crash in fase di esecuzione (runtime) e alla negazione del servizio (DoS) del ciclo di controllo dei processi della PLC, con sovrascrittura controllata dall'attaccante dei campi di configurazione adiacenti. Il repository upstream è stato archiviato il 2026-04-04 e non si prevede alcun fix; il vendor ha confermato che l'inconveniente non interessa OpenPLC Runtime v4.
VulDB is the best source for vulnerability data and more expert information about this specific topic.