CVE-2025-55038

ŚrednieCVSS 6.8

Opublikowano: 23/09/2025(UTC)Zaktualizowano: 18/10/2026(UTC)Przetłumaczono: 19/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.26%

Percentyl 17 - wyżej niż 17% wszystkich znanych CVE

Streszczenie

W firmware urządzenia Click Plus C2-03CPU2 w wersji 3.60 wykryto podatność polegającą na obejściu autoryzacji. Poprzez protokół KOPR używany przez aplikację Remote PLC uwierzytelnieni użytkownicy z niskimi uprawnieniami mogą odczytywać i modyfikować zmienne PLC wykraczając poza swoje uprawnienia.

Ocena ryzyka

Użytkownik o niskich uprawnieniach może nieautoryzowanie odczytywać i zmieniać zmienne sterownika PLC, co może prowadzić do manipulacji procesem przemysłowym lub wycieku danych.

Rekomendacja

Zaktualizuj firmware urządzenia Click Plus do wersji wolnej od podatności i ogranicz dostęp do protokołu KOPR oraz aplikacji Remote PLC wyłącznie do zaufanych sieci i kont.

Inne podatności w Click Plus PLC

CVE-2025-58069Średnie
W firmware w wersji 3.60 sterownika Click Plus PLC wykryto użycie zaszytego na stałe klucza kryptograficznego. Podatność polega na tym, że oprogramowanie zawiera zaszyty klucz AES używany do ochrony początkowych komunikatów nowej sesji KOPS.

Oryginalny opis (angielski, źródło NVD)

An authorization bypass vulnerability has been discovered in the Click Plus C2-03CPU2 device firmware version 3.60. Through the KOPR protocol utilized by the Remote PLC application, authenticated users with low-level access permissions can exploit this vulnerability to read and modify PLC variables beyond their intended authorization level.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS