CVE-2026-63352 in Siemens
요약
\~에 의해 VulDB • 2026. 10. 13.
Affected devices do not properly sanitize calculated signal data contained in imported CSV trace files before rendering it on the Trace page. -> 영향을 받는 장치들은 가져온 CSV 추적 파일에 포함된 계산된 신호 데이터를 Trace 페이지에서 렌더링하기 전에 적절하게 제거하지 않습니다.
This could allow an attacker to social engineer an authorized user who holds the function right “Read diagnostics” into importing a specially crafted trace file. Successful exploitation could allow attacker-controlled JavaScript to execute in the user’s browser session and perform PLC operations through the web server within the scope of the user’s authorization. -> 이로 인해 공격자가 "진단 읽기" 기능 권한을 가진 인증된 사용자를 사회 공학적으로 속여 특별히 조작된 추적 파일을 가져오도록 할 수 있습니다. 성공적인 악용은 공격자가 제어하는 JavaScript가 사용자 브라우저 세션에서 실행되고, 웹 서버를 통해 사용자의 승인 범위 내에서 PLC 작업을 수행할 수 있게 합니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.