PT-2026-31704 · Unknown · Openplc V3

CVE-2026-35063 · Publicado 2026-04-09 · Atualizado 2026-04-09

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Name of the Vulnerable Software and Affected Versions OpenPLC V3 (affected versions not specified)

Description O endpoint REST API do OpenPLC V3 não verifica a função do chamador após confirmar a presença de um JWT. Um usuário autenticado com a função 'user' pode excluir qualquer usuário, incluindo administradores, fornecendo o ID do usuário de destino. Além disso, os usuários podem criar novas contas com a função 'admin', levando ao acesso total de administrador. O endpoint da API em questão não impõe corretamente as verificações de autorização.

Recommendations Atualmente, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2026-35063

Produtos afetados

Openplc V3

Referências · 3

• https://nvd.nist.gov/vuln/detail/CVE-2026-35063 · Nota de Segurança
• https://twitter.com/CVEnew/status/2042340073463497074 · Publicação no Twitter
• https://cisa.gov/news-events/ics-advisories/icsa-25-345-10 · Nota