CVE-2026-7005
WIT SynApps Runtime 1.4.11: SSRF через браузер при подключении контроллера
- Опубликовано
- 30 окт. 2026 г.
- Обновлено
- 30 окт. 2026 г.
- Назначение CNA
- VulnCheck
- Наблюдены доказательства
- 30 окт. 2026 г.
Первичный CVSS
cvelist · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:N/VI:N/VA:N/SC:L/SI:L/SA:NНизкий · следующие 30 дней
- Процентиль
- 2,1 %
- Дата модели
- 31 окт. 2026 г.
EPSS – это статистическая оценка, а не достоверность или мера воздействия. Объедините это с CVSS, статусом KEV, воздействием и вашей средой.
Резюме
WIT SynApps Runtime до версии 1.4.11 включительно содержит уязвимость межсайтовой подделки запросов, опосредованной браузером, которая позволяет злоумышленникам указать произвольный целевой адрес в процессе подключения контроллера, в результате чего браузер жертвы отправляет запросы обнаружения на указанные злоумышленником хосты по таким путям, как /easy/GUI/Skins/Default/SiteLogo и /easy/GUI/Skins/Default/Identity. Злоумышленники могут использовать доступность сети из браузера жертвы для проверки адресов loopback, локальных имён хостов или хостов, доступных только из внутренней сети, и инициировать процесс регистрации на экземплярах REDY, преодолевая границы сегментации IT/OT через санкционированный путь приложения.
Источники
- ExploitsPoC
Оригинальные CVE, PoC-эксплойты и бюллетени безопасности с подробными цепочками уязвимостей, методами повышения привилегий и выхода из контейнера для тестирования на проникновение и исследований.
Ответственное использование
Используйте информацию об уязвимостях только в тех системах, которыми вы владеете или имеете право тестировать. Kitploit ссылается на метаданные общедоступных исследований и не хранит код эксплойта или вредоносные полезные данные.