CVE-2026-16436

9.2Critique

Faits confirmés

Données publiées par NVD. La traduction française est automatique : le texte anglais fait foi.

Weak Password Recovery Mechanism for Forgotten Password vulgarability in Mitsubishi Electric GENESIS versions 11.03 and previous, GENESIS64 versions 10.97.3 and previous, IoTWorX versions 10.97.3 and previous, Hyper Historian versions 10.97.3 and previous, AnalytiX versions 10.97.3 and previous, MobileHMI 10.97.3 and previous, IoTWorX 10.97.3 and previous, MC Works64 toutes versions, GENESIS32 toutes versions, BizViz toutes versions, Mitsubishi Electric Iconics Digital Solutions GENESIS versions 11.03 and previous, GENESIS64 versions 10.97.3 and previous, ICONICS Suite versions 10.97.3 and previous, Hyper Historian versions 10.97.3 and previous, AnalytiX versions 10.97.3 and previous, MobileHMI 1097.3 and previous, IoTWorX 1097.3 and previous, GENESIS32 toutes versions, et BizViz toutes versions permettent à un attaquant d La réponse au défi utilisée pour débloquer le système est commune à tous les utilisateurs et fixe. En conséquence, l'agresseur peut divulguer, modifier, détruire ou supprimer des informations internes ou faire entrer le système touché dans une condition de refus de service (DoS).

Texte officiel (anglais)

Weak Password Recovery Mechanism for Forgotten Password vulnerability in Mitsubishi Electric GENESIS versions 11.03 and prior, GENESIS64 versions 10.97.3 and prior, ICONICS Suite versions 10.97.3 and prior, Hyper Historian versions 10.97.3 and prior, AnalytiX versions 10.97.3 and prior, MobileHMI 10.97.3 and prior, IoTWorX 10.97.3 and prior, MC Works64 all versions, GENESIS32 all versions, BizViz all versions, Mitsubishi Electric Iconics Digital Solutions GENESIS versions 11.03 and prior, GENESIS64 versions 10.97.3 and prior, ICONICS Suite versions 10.97.3 and prior, Hyper Historian versions 10.97.3 and prior, AnalytiX versions 10.97.3 and prior, MobileHMI 10.97.3 and prior, IoTWorX 10.97.3 and prior, GENESIS32 all versions, and BizViz all versions allows a remote attacker to unlock the system by obtaining the challenge response by some means. The challenge response used to unlock the system is common to all users and fixed. As a result, the attacker may disclose, tamper with, destroy, or delete internal information, or cause the affected system to enter a denial-of-service (DoS) condition.

Versions touchées

Pas encore publiées par NVD. Consultez l’avis de l’éditeur.

Correctif et avis officiels

Statut NVD : Awaiting Analysis · CWE-640

Notre analyse automatique : en termes simples

Explication générée à partir des données officielles, sans test de notre part. Elle peut simplifier ou se tromper.

Comment elle s’exploite

Un attaquant peut l’exploiter à distance, par le réseau, sans aucun compte, sans action de la victime. L’attaque est simple à réaliser.

Ce qu’un attaquant pourrait faire

lire des données confidentielles
modifier des données ou le système
rendre le service indisponible

Mini glossaire

CVE: Numéro public unique attribué à une faille, pour que tout le monde parle de la même chose.
CVSS: Note de gravité de 0 à 10. Elle mesure la gravité théorique, pas le risque réel chez vous.
CWE: Catégorie du type d’erreur à l’origine de la faille.
KEV: Liste de l’agence américaine CISA recensant les failles réellement exploitées par des attaquants.
Correctif: Mise à jour publiée par l’éditeur pour supprimer la faille.
Atténuation: Mesure temporaire qui réduit le risque quand le correctif n’est pas encore appliqué.

Articles liés

27 oct.13:00

Mitsubishi Electric et Mitsubishi Electric Iconics Solutions numériques GENESIS, GENESIS64, ICONICS Suite, Hyperhistorien, AnalytiX, MobileHMI, IoTWorX, MC Works64, GENESIS32 et BizViz

Voir le résumé du CSAF Une exploitation réussie de ces vulnérabilités pourrait permettre à un attaquant d'exécuter un code arbitraire (CVE-2023-4863), une authentification par contournement (CVE-2026-16436 et CVE-2026-16437) ou d'effectuer des opérations arbitraires (CVE-2026-16438), ce qui entraînerait la divulgation d'informations, la manipulation, la destruction ou la suppression d'informations et une condition de refus de service (DoS) du système. Le foll

CISA Advisories

This product uses data from the NVD API but is not endorsed or certified by the NVD.