JVN#42282226：Phoenix Contact CHARX SEC-3xxx存在代码注入漏洞
发布日期： 2025/10/15
最后更新： 2025/10/15
概述
Phoenix Contact提供的CHARX SEC-3xxx存在代码注入漏洞。
受影响产品
- CHARX SEC-3150 固件版本早于1.7.4
- CHARX SEC-3100 固件版本早于1.7.4
- CHARX SEC-3050 固件版本早于1.7.4
- CHARX SEC-3000 固件版本早于1.7.4
漏洞描述
Phoenix Contact提供的CHARX SEC-3xxx存在以下漏洞：
代码注入（CWE-94）
CVSS评分：
- CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N 基础评分8.7
- CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H 基础评分8.8
CVE编号：CVE-2025-41699
影响
拥有Web管理账户的低权限远程攻击者可以更改系统配置，以root权限执行命令注入，由于代码生成控制不当（‘代码注入’），导致机密性、可用性和完整性的完全丧失。
解决方案
更新固件 根据开发商提供的信息，将固件更新至最新版本。
厂商状态
| 厂商 | 链接 |
|---|---|
| Phoenix Contact | Application Note Security (PDF) |
参考信息
- VDE CERT VDE-2025-074：Phoenix Contact：CHARX SEC-3xxx充电控制器安全公告
致谢
Panasonic Holdings Corporation的Ryo Kato向IPA报告了此漏洞。 JPCERT/CC在信息安全早期预警合作伙伴关系下与开发商进行了协调。
其他信息
- JVN iPedia：JVNDB-2025-000086
版权声明：Copyright (c) 2000-2025 JPCERT/CC and IPA. All rights reserved.