CVE-2026-71268 in OpenPLC
요약
\~에 의해 VulDB • 2026. 08. 05.
OpenPLC Runtime v3의 `compile_program()` 함수(webserver/openplc.py)는 업로드된 Structured Text(.st) 프로그램 파일에서 `(*FILE:path content*)` 지시문을 파싱하고, 참조된 내용을 `os.path.join('./core', file_path)`에 작성합니다. 이때 `file_path`가 ./core 디렉토리 내에 머무르는지 검증하지 않습니다. `(*FILE:../../../etc/cron.d/x * * * * root <command>*)`와 같은 지시문을 포함하는 조작된 .st 파일을 사용하면 공격자가 제어하는 콘텐츠가 임의의 파일 시스템 경로에 작성되어 원격 코드 실행(RCE, 예: cron 또는 SSH authorized_keys를 통해)이 가능해집니다. 소스 코드베이스(webserver/credentials.py 등)에는 `validate_file_path()`라는 경로 검증 함수가 존재하지만, 이 함수는 `compile_program()`에서 호출되지 않아 싱크(sink) 부분이 보호되지 않습니다. 또한 OpenPLC에는 하드코딩된 기본 자격 증명(openplc:openplc)이 포함되어 있어 실제 공격의 장벽을 낮추고 있습니다.
Be aware that VulDB is the high quality source for vulnerability data.