Version
2.20.1
Supportstatus
Nicht unterstützt
SBOMs
4/4
VDR-Dokumente
4
VEX-Dokumente
4
WebIQ-Komponenten & Security-Artefakte
Automatisch aus supplychain/versions: version.json, SBOM, VDR und VEX
| Komponente | Version | SBOM | VDR | VEX | Artefakte |
|---|---|---|---|---|---|
WebIQ Server CONNECT |
2.20.1 |
CycloneDX 1.5 · 13 Bestandteile
|
13 bekannte Schwachstelle(n) · 15.10.2026 07:16
|
13 Bewertung(en) · 15.10.2026 07:16
|
SBOM VDR VEX |
WebIQ Designer DESIGNER |
2.20.1 |
CycloneDX 1.5 · 199 Bestandteile
|
6 bekannte Schwachstelle(n) · 15.10.2026 07:16
|
6 Bewertung(en) · 15.10.2026 07:16
|
SBOM VDR VEX |
IOHandler ModBus MODBUS |
1.0.0 |
CycloneDX 1.5 · 3 Bestandteile
|
13 bekannte Schwachstelle(n) · 15.10.2026 07:16
|
13 Bewertung(en) · 15.10.2026 07:16
|
SBOM VDR VEX |
IOHandler OPC-UA OPCUA |
2.5.0 |
CycloneDX 1.5 · 5 Bestandteile
|
22 bekannte Schwachstelle(n) · 15.10.2026 07:16
|
22 Bewertung(en) · 15.10.2026 07:16
|
SBOM VDR VEX |
Changelog
WebIQ 2.20.1 Changelog
Main Features & Release Notes
Mainly fixing a WebIQ Server crash found in 2.20.0 shortly before release. Includes some other small bugfixes.
WebIQ Designer
- WEBIQ-5594 Fix: Localization Manager: the "show locale" popup was not correctly positioned over the configuration button
WebIQ Visuals
- WEBIQ-5601 Fix: MD Trend Zoom: vertical layout did not work, was shown as horizontal
- WEBIQ-5595 Fix: IQ/MD widgets: several widgets allowed customization of a label even when the widget did not have a label
WebIQ Server
- WEBIQ-5581 Runtime Manager: removed superfluous "disable MFA" option in "Create new user" dialog
- WEBIQ-5623 Fix: Runtime Manager: session termination did no longer work in 2.19.0
- WEBIQ-5604 Fix: Fixed a crash in 2.20.0 when the connection is closed but some data is still in the send queue
WebIQ General
- WEBIQ-5593 Prevent running the installer while WebIQ Designer is still running
Release Notes
A WebIQ Server crash was found shortly before the official release of 2.20.0, therefore it was not released and 2.20.1 is now the version including that fix.
This release is adding more cybersecurity features leaving just a few gaps for CRA compliance. See below for all details. This release also introduces ModBus TCP and ModBus TLS (not ModBus RTU).
NOTE: HTTPS by default: When installing WebIQ 2.20.0 (instead of updating an existing version) WebIQ will use HTTPS on port 10123 instead of HTTP to meet CRA requirements.
NOTE: ModBus: For using ModBus you have to manually specify either "ioHandlerModbusTCP" or "ioHandlerModbusTLS" as "Shared Library" in IO Manager to use it. Be aware of the EU CRA regulations when using the non-encrypted TCP version.
WARNING: LINUX: This is the last release with support for Linux distributions released prior to 2021 as we will be updating https://en.wikipedia.org/wiki/Glibc[glibc] to version 2.31 with the next release.
Bekannte Issues
Dieser Bereich enthält bekannte funktionale oder technische Produktprobleme. Sicherheitslücken werden separat im Abschnitt „Bekannte Sicherheitslücken“ aus VDR/VEX dargestellt.
no known issues to date
Bekannte Sicherheitslücken
VDR + VEXDie Menge der bekannten Sicherheitslücken stammt primär aus den komponentenbezogenen vdr.json-Dateien. Eine passende VEX-Bewertung überschreibt den unbewerteten VDR-Status und bestimmt die WebIQ-spezifische Ausnutzbarkeit. Schwachstellen, die im VDR vorhanden sind, aber noch nicht durch Smart-HMI bewertet wurden, erscheinen automatisch als nicht evaluiert.
Zusammenfassung nach Komponenten
| WebIQ-Komponente | Gesamt | Höchste Kritikalität | Verteilung |
|---|---|---|---|
| CONNECTWebIQ Server | 13 | HIGH8.2 | 4 HIGH · 5 MEDIUM · 4 LOW |
| DESIGNERWebIQ Designer | 6 | CRITICAL9.1 | 1 CRITICAL · 2 HIGH · 1 MEDIUM · 2 LOW |
| MODBUSIOHandler ModBus | 4 | MEDIUM5.3 | 1 MEDIUM · 3 LOW |
| OPCUAIOHandler OPC-UA | 22 | HIGH8.2 | 11 HIGH · 6 MEDIUM · 5 LOW |
1. In Komponenten enthalten, aber im WebIQ-Kontext nicht aktiv ausnutzbar9
Hier erscheinen VEX-Einträge mit Zuständen wie not_affected, false_positive oder resolved.
| Kennung | External Dependency | WebIQ-Komponente | Bewertung | Schweregrad | Hinweis |
|---|---|---|---|---|---|
| CVE-2026-84782 | openssl 3.5.8 |
IOHandler ModBus
|
Nicht betroffen / nicht ausnutzbar | HIGH8.2 | DTLS not used by WebIQ |
| CVE-2026-54873 | openssl 3.5.8 |
IOHandler ModBus
|
Nicht betroffen / nicht ausnutzbar | HIGH7.5 | QUIC not used by WebIQ |
| CVE-2026-72897 | openssl 3.5.8 |
IOHandler ModBus
|
Nicht betroffen / nicht ausnutzbar | HIGH7.5 | WebIQ does not do what is required to trigger the issue. Neither it nor its TLS reliant dependencies (Boost.Asio, Unified Automation UaSDK) call SSL_set_SSL_CTX part way through a handshake. |
| CVE-2026-84784 | openssl 3.5.8 |
IOHandler ModBus
|
Nicht betroffen / nicht ausnutzbar | HIGH7.5 | QUIC not used by WebIQ |
| CVE-2026-42772 | openssl 3.5.8 |
IOHandler ModBus
|
Nicht betroffen / nicht ausnutzbar | MEDIUM5.3 | QUIC not used by WebIQ |
| CVE-2026-75804 | openssl 3.5.8 |
IOHandler ModBus
|
Nicht betroffen / nicht ausnutzbar | MEDIUM5.3 | QUIC not used by WebIQ |
| CVE-2026-75805 | openssl 3.5.8 |
IOHandler ModBus
|
Nicht betroffen / nicht ausnutzbar | MEDIUM5.3 | CMP not used by WebIQ |
| CVE-2026-75806 | openssl 3.5.8 |
IOHandler ModBus
|
Nicht betroffen / nicht ausnutzbar | MEDIUM5.3 | DTLS not used by WebIQ |
| CVE-2026-35191 | openssl 3.5.8 |
IOHandler ModBus
|
Nicht betroffen / nicht ausnutzbar | LOW3.7 | QUIC not used by WebIQ |
2. Aktiv ausnutzbar, aber keine aktive Ausnutzung in WebIQ bekannt oder gemeldet4
Hier erscheinen VEX-Einträge mit analysis.state = exploitable, sofern keine explizite aktive Ausnutzung in WebIQ gekennzeichnet wurde.
| Kennung | External Dependency | WebIQ-Komponente | Bewertung | Schweregrad | Quelle | Hinweis |
|---|---|---|---|---|---|---|
| CVE-2026-35189 | openssl 3.5.8 |
IOHandler ModBus
|
Ausnutzbar; keine aktive WebIQ-Ausnutzung bekannt | MEDIUM5.3 | VEX | Die Schwachstelle ist technisch relevant; eine aktive Ausnutzung gegen WebIQ ist nicht bekannt oder gemeldet. |
| CVE-2026-54872 | openssl 3.5.8 |
IOHandler ModBus
|
Ausnutzbar; keine aktive WebIQ-Ausnutzung bekannt | LOW3.7 | VEX | Theoretically exploitable with users configuring their TLS listeners with one of the affected curves. Practically nobody does this though so the actual impact is effectively zero. |
| CVE-2026-54875 | openssl 3.5.8 |
IOHandler ModBus
|
Ausnutzbar; keine aktive WebIQ-Ausnutzung bekannt | LOW3.7 | VEX | Theoretically exploitable with users configuring their TLS listeners with one of the affected curves. Practically nobody does this though so the actual impact is effectively zero. |
| CVE-2026-77696 | openssl 3.5.8 |
IOHandler ModBus
|
Ausnutzbar; keine aktive WebIQ-Ausnutzung bekannt | LOW3.7 | VEX | Theoretically exploitable with users configuring their TLS listeners with one of the affected curves. Practically nobody does this though so the actual impact is effectively zero. |
3. Aktiv in WebIQ ausgenutzt0
Diese Kategorie wird nur befüllt, wenn der VEX-Datensatz die aktive Ausnutzung in WebIQ explizit kennzeichnet.
Bisher keine bekannte oder gemeldete aktive Ausnutzung in WebIQ.
4. Nicht evaluierte Sicherheitslücken41
Hier erscheinen insbesondere Schwachstellen aus vdr.json, für die noch kein passender Eintrag in der VEX-Datei der Komponente vorliegt. Zusätzlich werden VEX-Einträge mit noch nicht abschließend bewertetem Status hier geführt.
Diese WebIQ-Version wird nicht mehr unterstützt. Nicht evaluierte Schwachstellen sollten daher vorsorglich so behandelt werden, als wären sie ausnutzbar. Aktualisieren Sie auf die neueste unterstützte Version 2.21.0.
| Kennung | External Dependency | WebIQ-Komponente | Bewertung | Schweregrad |
|---|---|---|---|---|
| GHSA-jqcg-44mw-7w3h | proxy-addr 2.0.7 |
WebIQ Designer
|
Nicht durch Smart-HMI bewertet | CRITICAL9.1 |
| CVE-2026-84782 | openssl 3.5.8 |
WebIQ Server
|
Nicht durch Smart-HMI bewertet | HIGH8.2 |
| CVE-2026-84782 | openssl 3.5.8 |
IOHandler OPC-UA
|
Nicht durch Smart-HMI bewertet | HIGH8.2 |
| CVE-2026-11979 | libxml2 2.15.3 |
IOHandler OPC-UA
|
Nicht durch Smart-HMI bewertet | HIGH7.8 |
| CVE-2026-86138 | libxml2 2.15.3 |
IOHandler OPC-UA
|
Nicht durch Smart-HMI bewertet | HIGH7.8 |
| CVE-2026-86139 | libxml2 2.15.3 |
IOHandler OPC-UA
|
Nicht durch Smart-HMI bewertet | HIGH7.8 |
| CVE-2026-86140 | libxml2 2.15.3 |
IOHandler OPC-UA
|
Nicht durch Smart-HMI bewertet | HIGH7.8 |
| CVE-2026-86142 | libxml2 2.15.3 |
IOHandler OPC-UA
|
Nicht durch Smart-HMI bewertet | HIGH7.8 |
| CVE-2026-86144 | libxml2 2.15.3 |
IOHandler OPC-UA
|
Nicht durch Smart-HMI bewertet | HIGH7.8 |
| CVE-2026-54873 | openssl 3.5.8 |
WebIQ Server
|
Nicht durch Smart-HMI bewertet | HIGH7.5 |
| CVE-2026-54873 | openssl 3.5.8 |
IOHandler OPC-UA
|
Nicht durch Smart-HMI bewertet | HIGH7.5 |
| CVE-2026-72897 | openssl 3.5.8 |
WebIQ Server
|
Nicht durch Smart-HMI bewertet | HIGH7.5 |
| CVE-2026-72897 | openssl 3.5.8 |
IOHandler OPC-UA
|
Nicht durch Smart-HMI bewertet | HIGH7.5 |
| CVE-2026-84784 | openssl 3.5.8 |
WebIQ Server
|
Nicht durch Smart-HMI bewertet | HIGH7.5 |
| CVE-2026-84784 | openssl 3.5.8 |
IOHandler OPC-UA
|
Nicht durch Smart-HMI bewertet | HIGH7.5 |
| GHSA-6j4f-fj2g-mc7p | brace-expansion 5.0.9 |
WebIQ Designer
|
Nicht durch Smart-HMI bewertet | HIGH7.5 |
| GHSA-qhr7-859c-m2p7 | brace-expansion 5.0.9 |
WebIQ Designer
|
Nicht durch Smart-HMI bewertet | HIGH7.5 |
| CVE-2026-86143 | libxml2 2.15.3 |
IOHandler OPC-UA
|
Nicht durch Smart-HMI bewertet | HIGH7.3 |
| CVE-2026-86137 | libxml2 2.15.3 |
IOHandler OPC-UA
|
Nicht durch Smart-HMI bewertet | MEDIUM6.1 |
| CVE-2026-35189 | openssl 3.5.8 |
WebIQ Server
|
Nicht durch Smart-HMI bewertet | MEDIUM5.3 |
| CVE-2026-35189 | openssl 3.5.8 |
IOHandler OPC-UA
|
Nicht durch Smart-HMI bewertet | MEDIUM5.3 |
| CVE-2026-42772 | openssl 3.5.8 |
WebIQ Server
|
Nicht durch Smart-HMI bewertet | MEDIUM5.3 |
| CVE-2026-42772 | openssl 3.5.8 |
IOHandler OPC-UA
|
Nicht durch Smart-HMI bewertet | MEDIUM5.3 |
| CVE-2026-75804 | openssl 3.5.8 |
WebIQ Server
|
Nicht durch Smart-HMI bewertet | MEDIUM5.3 |
| CVE-2026-75804 | openssl 3.5.8 |
IOHandler OPC-UA
|
Nicht durch Smart-HMI bewertet | MEDIUM5.3 |
| CVE-2026-75805 | openssl 3.5.8 |
WebIQ Server
|
Nicht durch Smart-HMI bewertet | MEDIUM5.3 |
| CVE-2026-75805 | openssl 3.5.8 |
IOHandler OPC-UA
|
Nicht durch Smart-HMI bewertet | MEDIUM5.3 |
| CVE-2026-75806 | openssl 3.5.8 |
WebIQ Server
|
Nicht durch Smart-HMI bewertet | MEDIUM5.3 |
| CVE-2026-75806 | openssl 3.5.8 |
IOHandler OPC-UA
|
Nicht durch Smart-HMI bewertet | MEDIUM5.3 |
| GHSA-q2hr-2g5m-vwhr | brace-expansion 5.0.9 |
WebIQ Designer
|
Nicht durch Smart-HMI bewertet | MEDIUM5.3 |
| CVE-2026-35191 | openssl 3.5.8 |
WebIQ Server
|
Nicht durch Smart-HMI bewertet | LOW3.7 |
| CVE-2026-35191 | openssl 3.5.8 |
IOHandler OPC-UA
|
Nicht durch Smart-HMI bewertet | LOW3.7 |
| CVE-2026-54872 | openssl 3.5.8 |
WebIQ Server
|
Nicht durch Smart-HMI bewertet | LOW3.7 |
| CVE-2026-54872 | openssl 3.5.8 |
IOHandler OPC-UA
|
Nicht durch Smart-HMI bewertet | LOW3.7 |
| CVE-2026-54875 | openssl 3.5.8 |
WebIQ Server
|
Nicht durch Smart-HMI bewertet | LOW3.7 |
| CVE-2026-54875 | openssl 3.5.8 |
IOHandler OPC-UA
|
Nicht durch Smart-HMI bewertet | LOW3.7 |
| CVE-2026-77696 | openssl 3.5.8 |
WebIQ Server
|
Nicht durch Smart-HMI bewertet | LOW3.7 |
| CVE-2026-77696 | openssl 3.5.8 |
IOHandler OPC-UA
|
Nicht durch Smart-HMI bewertet | LOW3.7 |
| CVE-2026-86141 | libxml2 2.15.3 |
IOHandler OPC-UA
|
Nicht durch Smart-HMI bewertet | LOW3.3 |
| GHSA-p98j-92pf-mc4p | dompurify 3.4.15 |
WebIQ Designer
|
Nicht durch Smart-HMI bewertet | LOW2.3 |
| GHSA-6688-9rhm-gjv2 | dompurify 3.4.15 |
WebIQ Designer
|
Nicht durch Smart-HMI bewertet | LOW |