CVE-2026-11826

OpenPLC_v3, webserver/core/modbus_master.cpp dosyasındaki getData() fonksiyonunda yığın tabanlı bir arabellek taşması içermektedir. getData(), iki ayırıcı arasındaki karakterleri, boyut parametresi ve sınır kontrolü olmaksızın çağırıcı tarafından sağlanan bir arabelleğe okumaktadır. parseConfig() içerisinde bu fonksiyon, yığında tahsis edilmiş 100 baytlık MB_device.dev_name alanı ile çağrılmaktadır. OpenPLC web arayüzüne erişimi olan kimliği doğrulanmış bir saldırgan, /modbus uç noktasına aşırı büyük bir device_name değeri içeren özel olarak hazırlanmış bir HTTP POST isteği gönderebilir; bu değer mbconfig.cfg dosyasına kaydedilir ve yükleme sırasında ayrıştırılarak dev_name alanının taşmasına ve bitişik yapı alanlarının (offset 108'de protocol, offset 109'da dev_address, offset 210'da ip_port) üzerine yazılmasına neden olur. 200 baytlık bir yük, tahsis edilen alanın 100 bayt ötesine yazar. Sonuç, çalışma zamanı çökmesine ve PLC işlem kontrol döngüsünün hizmet reddine yol açan yığın bozulmasıdır ve saldırgan tarafından kontrol edilen bitişik konfigürasyon alanlarının üzerine yazılmasıyla sonuçlanır. Üst akış deposu 2026-04-04 tarihinde arşivlendiğinden herhangi bir düzeltme beklenmemektedir; satıcı, sorunun OpenPLC Runtime v4 sürümünü etkilemediğini onaylamıştır.