CISA publie un avis sur une vulnérabilité d'élévation de privilèges dans Inductive Automation Ignition

La CISA a publié l'avis ICSA-26-286-01 concernant une vulnérabilité d'autorisation incorrecte (CVE-2026-92817) dans Inductive Automation Ignition. Le module Perspective ne valide pas correctement les privilèges de session lors de la détermination de l'accès au niveau Designer, ce qui permet à un utilisateur authentifié disposant d'un accès à un projet Vision de fournir son identifiant de session Vision valide et d'obtenir des privilèges de niveau Designer, puis d'exécuter du code arbitraire dans le contexte du processus Ignition Gateway. Les versions affectées sont Ignition >=8.1.0|<=8.1.54 et >=8.3.0|<=8.3.8, avec un score CVSS v3.1 de 8.8 (élevé). Inductive Automation a publié la version 8.3.9 en août 2025 et la version 8.1.55 en septembre 2026 pour corriger le problème ; les utilisateurs sont invités à mettre à jour vers la version la plus récente. La vulnérabilité a été signalée par Tim Hemingway. Aucune exploitation publique ciblant cette vulnérabilité n'a été signalée à la CISA à ce jour.