Vulnerabilidad · Publicado 13/10/2026
Dispositivos afectados no restringen correctamente contenido ejecutable en archivos de traza importados, permitiendo que atacantes realicen ingeniería social contra usuarios autorizados con permisos de lectura de diagnósticos. La explotación exitosa permite ejecución de JavaScript controlado por el atacante en la sesión del navegador para realizar operaciones en PLC, comprometiendo sistemas críticos de automatización industrial comunes en plantas manufactureras y utilidades en México y Latinoamérica.
Affected devices do not properly restrict executable content contained in imported trace files. This could allow an attacker to social engineer an authorized user who holds the function right “Read diagnostics” into importing a specially crafted trace file. Successful exploitation could allow attacker-controlled JavaScript to execute in the user’s browser session and perform PLC operations through the web server within the scope of the user’s authorization.
Score: 9.6/10 — Severidad: CRITICAL — Estado NIST: Received
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H
CWE-95
Publicado en NIST NVD.