CVE-2025-54962

总结

/edit-user 位于 OpenPLC Runtime 3 至 9cd8f1b 的 webserver 中，允许已认证用户上传任意文件（例如 .html 或 .svg），这些文件随后可通过 /static URI 公开访问。

• CVE-2025-54962PoC

  经过身份验证的用户可以将任意文件（例如.html、.svg）上传为OpenPLC Runtime中的个人资料图片。这些文件无需身份验证即可公开访问，从而可能导致存储型XSS或恶意内容传播。