Vulnerabilidad · Publicado 13/10/2026
Dispositivos de múltiples fabricantes no sanitizan adecuadamente campos de comentarios en archivos de traza importados, permitiendo inyección de JavaScript. Un atacante podría engañar a usuarios con permisos de lectura de diagnósticos para importar archivos maliciosos, ejecutando código arbitrario en sus sesiones de navegador. La vulnerabilidad afecta infraestructuras de red críticas en centros de datos, ISPs y empresas que utilizan herramientas de diagnóstico para monitoreo de conectividad.
Affected devices do not properly sanitize comment fields contained in imported trace files before rendering them on the Trace page. This could allow an attacker to social engineer an authorized user who holds the function right “Read diagnostics” into importing a specially crafted trace file. Successful exploitation could allow attacker-controlled JavaScript to execute in the user’s browser session and perform PLC operations through the web server within the scope of the user’s authorization.
Score: 9.6/10 — Severidad: CRITICAL — Estado NIST: Received
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H
CWE-79
Publicado en NIST NVD.