Opis podatności

CERT Polska otrzymał zgłoszenie o podatnościach w oprogramowaniu Hydrosystem Control System i koordynował proces ujawniania informacji.

Podatność CVE-2026-4901: Hydrosystem Control System zapisuje wrażliwe informacje w pliku z logami. Co istotne, dane uwierzytelniające użytkownika także są zapisywane w logu, co umożliwia atakującemu uzyskanie dalszego autoryzowanego dostępu do systemu. W połączeniu z podatnością CVE-2026-34184, te wrażliwe informacje mogą być uzyskiwane przez nieautoryzowanego użytkownika.

Podatność CVE-2026-34184: Hydrosystem Control System nie wymusza autoryzacji dla niektórych katalogów. To umożliwia nieautoryzowanemu atakującemu odczytywanie wszystkich plików w tych katalogach oraz ich wykonywanie. Co istotne, atakujący może bezpośrednio uruchomić skrypty PHP wykonujące operacje na połączonej bazie danych.

Podatność CVE-2026-34185: Hydrosystem Control System jest podatny na SQL Injection w większości skryptów i parametrów wejściowych. Ponieważ nie zastosowano żadnych mechanizmów ochronnych, uwierzytelniony atakujący może wstrzyknąć dowolne polecenie SQL, co może prowadzić do uzyskania pełnej kontroli nad bazą danych.

Te problemy zostały naprawione w wersji 9.8.5

Podziękowania

Za zgłoszenie podatności dziękujemy Jarosławowi "Jahrek" Kamińskiemu - Securitum.