Données publiées par NVD. La traduction française est automatique : le texte anglais fait foi.
Une vulnérabilité a été identifiée dans SIMATIC IoT2050 Advanced (6ES7647-0BA00-1YA2) (Toutes les versions < V4.3.4-1 en cours d'exécution pour les systèmes d'exploitation industriels avec Node-RED installé), SIMATIC IoT2050 Basic (6ES7647-0BA00-0YA2) (Toutes les versions < V4.3.4-1 en cours d'exécution pour les systèmes d'exploitation industrielle avec Node-RED installé), SIMATIC IoT2050 M.2 (6ES7647-0BB00-1YA2) (Toutes les versions < V4.3.4-1 en cours d'exécution pour les systèmes d'exploitation industrielle avec Node-RED installé), SIMATIC IoT2050 SM (6ES7647-0CA00-1AA2) (Toutes les versions < V4.3.4-1 en cours d'exécution pour les systèmes d'exploitation industrielle avec Node-RED installé). Les appareils affectés n'imposent pas l'authentification sur l'interface HTTP Node-RED, permettant un accès non authentifié aux nœuds de programmation capables d'exécuter des commandes système sur le serveur. Cela pourrait permettre à un attaquant à distance non authentifié de créer des flux malveillants via l'interface HTTP afin d'exécuter le code arbitraire sur le serveur sous-jacent avec des privilèges maximum.
Texte officiel (anglais)
A vulnerability has been identified in SIMATIC IoT2050 Advanced (6ES7647-0BA00-1YA2) (All versions < V4.3.4-1 running Industrial OS with Node-RED installed), SIMATIC IoT2050 Basic (6ES7647-0BA00-0YA2) (All versions < V4.3.4-1 running Industrial OS with Node-RED installed), SIMATIC IoT2050 M.2 (6ES7647-0BB00-1YA2) (All versions < V4.3.4-1 running Industrial OS with Node-RED installed), SIMATIC IoT2050 SM (6ES7647-0CA00-1AA2) (All versions < V4.3.4-1 running Industrial OS with Node-RED installed). Affected devices do not enforce authentication on the Node-RED HTTP interface, allowing unauthenticated access to programming nodes that are capable of executing system commands on the server.
This could allow an unauthenticated remote attacker to create malicious flows through the HTTP interface in order to execute arbitrary code on the underlying server with maximum privileges.
Versions touchées
Pas encore publiées par NVD. Consultez l’avis de l’éditeur.
Un défaut de sécurité de gravité maximale ayant une incidence sur Siemens SIMATIC IoT2050 Des dispositifs avancés sont actuellement exploités activement, VulnCheck a révélé. La vulnérabilité, suivie comme CVE-2026-58115 (note CVSS : 10.0), est un cas d'authentification manquante pour une fonction critique qui pourrait être exploitée par un attaquant à distance non authentifié pour exécuter un code arbitraire. "SIMATIQUE IoT2050 Dispositifs avancés fonctionnant
