Version
2.20.2
Supportstatus
Nicht unterstützt
SBOMs
4/4
VDR-Dokumente
4
VEX-Dokumente
4
WebIQ-Komponenten & Security-Artefakte
Automatisch aus supplychain/versions: version.json, SBOM, VDR und VEX
| Komponente | Version | SBOM | VDR | VEX | Artefakte |
|---|---|---|---|---|---|
WebIQ Server CONNECT |
2.20.2 |
CycloneDX 1.5 · 13 Bestandteile
|
13 bekannte Schwachstelle(n) · 15.10.2026 07:16
|
13 Bewertung(en) · 15.10.2026 07:16
|
SBOM VDR VEX |
WebIQ Designer DESIGNER |
2.20.2 |
CycloneDX 1.5 · 199 Bestandteile
|
6 bekannte Schwachstelle(n) · 15.10.2026 07:16
|
6 Bewertung(en) · 15.10.2026 07:16
|
SBOM VDR VEX |
IOHandler ModBus MODBUS |
1.0.0 |
CycloneDX 1.5 · 3 Bestandteile
|
13 bekannte Schwachstelle(n) · 15.10.2026 07:16
|
13 Bewertung(en) · 15.10.2026 07:16
|
SBOM VDR VEX |
IOHandler OPC-UA OPCUA |
2.5.1 |
CycloneDX 1.5 · 5 Bestandteile
|
13 bekannte Schwachstelle(n) · 15.10.2026 07:16
|
13 Bewertung(en) · 15.10.2026 07:16
|
SBOM VDR VEX |
Changelog
WebIQ 2.20.2 Changelog
Main Features & Release Notes
WebIQ Designer
- WEBIQ-5628 Fix: Launcher: in certain constellations the launcher settings were reset which might have caused inability to connect to an HTTP WebIQ Server which was considered as HTTPS
- WEBIQ-5620 Fix: Localization was missing for the project import dialog placeholders
- WEBIQ-5597 Fix: Layout Manager: the space between hierarchy entries changed when expanding the hierarchy
- WEBIQ-5596 Fix: Package update message was shown when creating a new HMI project after discarding a project that required package updates
WebIQ Server
- WEBIQ-5626 Fix: Items with min/max settings which were items instead of fixed values did no longer work
WebIQ General
- WEBIQ-5630 Fix: INSTALLER: a check for when the uninstaller fails has been added - failed silently before
Release Notes
Bugfix release for mainly fixing two bugs in WebIQ Designer and WebIQ Server - see below for details.
Please note that for WebIQ Designer the bug is caused by the installed version that on close sometimes resets the Launcher configuration (this has been an issue since the Launcher has been integrated). The bugfix release will prevent this from happening in the future, but cannot fix an already broken Launcher configuration. If you cannot connect to WebIQ Server from WebIQ Designer after upgrading consider creating a new entry in the Launcher configuration that does not use HTTPS (HTTPS is indicated by a lock next to the IP address).
Also fixes WEBIQ-5626 which might be a critical issue for you when using min/max items for another item instead of min/max values.
Bekannte Issues
Dieser Bereich enthält bekannte funktionale oder technische Produktprobleme. Sicherheitslücken werden separat im Abschnitt „Bekannte Sicherheitslücken“ aus VDR/VEX dargestellt.
no known issues to date
Bekannte Sicherheitslücken
VDR + VEXDie Menge der bekannten Sicherheitslücken stammt primär aus den komponentenbezogenen vdr.json-Dateien. Eine passende VEX-Bewertung überschreibt den unbewerteten VDR-Status und bestimmt die WebIQ-spezifische Ausnutzbarkeit. Schwachstellen, die im VDR vorhanden sind, aber noch nicht durch Smart-HMI bewertet wurden, erscheinen automatisch als nicht evaluiert.
Zusammenfassung nach Komponenten
| WebIQ-Komponente | Gesamt | Höchste Kritikalität | Verteilung |
|---|---|---|---|
| CONNECTWebIQ Server | 3 | LOW3.7 | 3 LOW |
| DESIGNERWebIQ Designer | 6 | CRITICAL9.1 | 1 CRITICAL · 2 HIGH · 1 MEDIUM · 2 LOW |
| MODBUSIOHandler ModBus | 4 | MEDIUM5.3 | 1 MEDIUM · 3 LOW |
| OPCUAIOHandler OPC-UA | 4 | MEDIUM5.3 | 1 MEDIUM · 3 LOW |
1. In Komponenten enthalten, aber im WebIQ-Kontext nicht aktiv ausnutzbar28
Hier erscheinen VEX-Einträge mit Zuständen wie not_affected, false_positive oder resolved.
| Kennung | External Dependency | WebIQ-Komponente | Bewertung | Schweregrad | Hinweis |
|---|---|---|---|---|---|
| CVE-2026-84782 | openssl 3.5.8 |
WebIQ Server
|
Nicht betroffen / nicht ausnutzbar | HIGH8.2 | DTLS not used by WebIQ |
| CVE-2026-84782 | openssl 3.5.8 |
IOHandler ModBus
|
Nicht betroffen / nicht ausnutzbar | HIGH8.2 | DTLS not used by WebIQ |
| CVE-2026-84782 | openssl 3.5.8 |
IOHandler OPC-UA
|
Nicht betroffen / nicht ausnutzbar | HIGH8.2 | DTLS not used by WebIQ |
| CVE-2026-54873 | openssl 3.5.8 |
WebIQ Server
|
Nicht betroffen / nicht ausnutzbar | HIGH7.5 | QUIC not used by WebIQ |
| CVE-2026-54873 | openssl 3.5.8 |
IOHandler ModBus
|
Nicht betroffen / nicht ausnutzbar | HIGH7.5 | QUIC not used by WebIQ |
| CVE-2026-54873 | openssl 3.5.8 |
IOHandler OPC-UA
|
Nicht betroffen / nicht ausnutzbar | HIGH7.5 | QUIC not used by WebIQ |
| CVE-2026-72897 | openssl 3.5.8 |
WebIQ Server
|
Nicht betroffen / nicht ausnutzbar | HIGH7.5 | WebIQ does not do what is required to trigger the issue. Neither it nor its TLS reliant dependencies (Boost.Asio, Unified Automation UaSDK) call SSL_set_SSL_CTX part way through a handshake. |
| CVE-2026-72897 | openssl 3.5.8 |
IOHandler ModBus
|
Nicht betroffen / nicht ausnutzbar | HIGH7.5 | WebIQ does not do what is required to trigger the issue. Neither it nor its TLS reliant dependencies (Boost.Asio, Unified Automation UaSDK) call SSL_set_SSL_CTX part way through a handshake. |
| CVE-2026-72897 | openssl 3.5.8 |
IOHandler OPC-UA
|
Nicht betroffen / nicht ausnutzbar | HIGH7.5 | WebIQ does not do what is required to trigger the issue. Neither it nor its TLS reliant dependencies (Boost.Asio, Unified Automation UaSDK) call SSL_set_SSL_CTX part way through a handshake. |
| CVE-2026-84784 | openssl 3.5.8 |
WebIQ Server
|
Nicht betroffen / nicht ausnutzbar | HIGH7.5 | QUIC not used by WebIQ |
| CVE-2026-84784 | openssl 3.5.8 |
IOHandler ModBus
|
Nicht betroffen / nicht ausnutzbar | HIGH7.5 | QUIC not used by WebIQ |
| CVE-2026-84784 | openssl 3.5.8 |
IOHandler OPC-UA
|
Nicht betroffen / nicht ausnutzbar | HIGH7.5 | QUIC not used by WebIQ |
| CVE-2026-35189 | openssl 3.5.8 |
WebIQ Server
|
Nicht betroffen / nicht ausnutzbar | MEDIUM5.3 | WebIQ only processes certificates when connecting to external, Smart HMI controlled endpoints (for floating-licenses). To exploit this issue, one would have to spoof the DNS records of these endpoints to redirect traffic to a malicious server, causing the local WebIQ instance to no longer recognize the floating-license. The instances that use WebIQ floating licenses are (mostly) development systems with sufficient memory available to run multiple web browsers in parallel. The memory blowup, while not good, will not cause the system to go out of memory. |
| CVE-2026-42772 | openssl 3.5.8 |
WebIQ Server
|
Nicht betroffen / nicht ausnutzbar | MEDIUM5.3 | QUIC not used by WebIQ |
| CVE-2026-42772 | openssl 3.5.8 |
IOHandler ModBus
|
Nicht betroffen / nicht ausnutzbar | MEDIUM5.3 | QUIC not used by WebIQ |
| CVE-2026-42772 | openssl 3.5.8 |
IOHandler OPC-UA
|
Nicht betroffen / nicht ausnutzbar | MEDIUM5.3 | QUIC not used by WebIQ |
| CVE-2026-75804 | openssl 3.5.8 |
WebIQ Server
|
Nicht betroffen / nicht ausnutzbar | MEDIUM5.3 | QUIC not used by WebIQ |
| CVE-2026-75804 | openssl 3.5.8 |
IOHandler ModBus
|
Nicht betroffen / nicht ausnutzbar | MEDIUM5.3 | QUIC not used by WebIQ |
| CVE-2026-75804 | openssl 3.5.8 |
IOHandler OPC-UA
|
Nicht betroffen / nicht ausnutzbar | MEDIUM5.3 | QUIC not used by WebIQ |
| CVE-2026-75805 | openssl 3.5.8 |
WebIQ Server
|
Nicht betroffen / nicht ausnutzbar | MEDIUM5.3 | CMP not used by WebIQ |
| CVE-2026-75805 | openssl 3.5.8 |
IOHandler ModBus
|
Nicht betroffen / nicht ausnutzbar | MEDIUM5.3 | CMP not used by WebIQ |
| CVE-2026-75805 | openssl 3.5.8 |
IOHandler OPC-UA
|
Nicht betroffen / nicht ausnutzbar | MEDIUM5.3 | CMP not used by WebIQ |
| CVE-2026-75806 | openssl 3.5.8 |
WebIQ Server
|
Nicht betroffen / nicht ausnutzbar | MEDIUM5.3 | DTLS not used by WebIQ |
| CVE-2026-75806 | openssl 3.5.8 |
IOHandler ModBus
|
Nicht betroffen / nicht ausnutzbar | MEDIUM5.3 | DTLS not used by WebIQ |
| CVE-2026-75806 | openssl 3.5.8 |
IOHandler OPC-UA
|
Nicht betroffen / nicht ausnutzbar | MEDIUM5.3 | DTLS not used by WebIQ |
| CVE-2026-35191 | openssl 3.5.8 |
WebIQ Server
|
Nicht betroffen / nicht ausnutzbar | LOW3.7 | QUIC not used by WebIQ |
| CVE-2026-35191 | openssl 3.5.8 |
IOHandler ModBus
|
Nicht betroffen / nicht ausnutzbar | LOW3.7 | QUIC not used by WebIQ |
| CVE-2026-35191 | openssl 3.5.8 |
IOHandler OPC-UA
|
Nicht betroffen / nicht ausnutzbar | LOW3.7 | QUIC not used by WebIQ |
2. Aktiv ausnutzbar, aber keine aktive Ausnutzung in WebIQ bekannt oder gemeldet11
Hier erscheinen VEX-Einträge mit analysis.state = exploitable, sofern keine explizite aktive Ausnutzung in WebIQ gekennzeichnet wurde.
| Kennung | External Dependency | WebIQ-Komponente | Bewertung | Schweregrad | Quelle | Hinweis |
|---|---|---|---|---|---|---|
| CVE-2026-35189 | openssl 3.5.8 |
IOHandler ModBus
|
Ausnutzbar; keine aktive WebIQ-Ausnutzung bekannt | MEDIUM5.3 | VEX | Die Schwachstelle ist technisch relevant; eine aktive Ausnutzung gegen WebIQ ist nicht bekannt oder gemeldet. |
| CVE-2026-35189 | openssl 3.5.8 |
IOHandler OPC-UA
|
Ausnutzbar; keine aktive WebIQ-Ausnutzung bekannt | MEDIUM5.3 | VEX | Die Schwachstelle ist technisch relevant; eine aktive Ausnutzung gegen WebIQ ist nicht bekannt oder gemeldet. |
| CVE-2026-54872 | openssl 3.5.8 |
WebIQ Server
|
Ausnutzbar; keine aktive WebIQ-Ausnutzung bekannt | LOW3.7 | VEX | Theoretically exploitable with users configuring their TLS listeners with one of the affected curves. Practically nobody does this though so the actual impact is effectively zero. |
| CVE-2026-54872 | openssl 3.5.8 |
IOHandler ModBus
|
Ausnutzbar; keine aktive WebIQ-Ausnutzung bekannt | LOW3.7 | VEX | Theoretically exploitable with users configuring their TLS listeners with one of the affected curves. Practically nobody does this though so the actual impact is effectively zero. |
| CVE-2026-54872 | openssl 3.5.8 |
IOHandler OPC-UA
|
Ausnutzbar; keine aktive WebIQ-Ausnutzung bekannt | LOW3.7 | VEX | Theoretically exploitable with users configuring their TLS listeners with one of the affected curves. Practically nobody does this though so the actual impact is effectively zero. |
| CVE-2026-54875 | openssl 3.5.8 |
WebIQ Server
|
Ausnutzbar; keine aktive WebIQ-Ausnutzung bekannt | LOW3.7 | VEX | Theoretically exploitable with users configuring their TLS listeners with one of the affected curves. Practically nobody does this though so the actual impact is effectively zero. |
| CVE-2026-54875 | openssl 3.5.8 |
IOHandler ModBus
|
Ausnutzbar; keine aktive WebIQ-Ausnutzung bekannt | LOW3.7 | VEX | Theoretically exploitable with users configuring their TLS listeners with one of the affected curves. Practically nobody does this though so the actual impact is effectively zero. |
| CVE-2026-54875 | openssl 3.5.8 |
IOHandler OPC-UA
|
Ausnutzbar; keine aktive WebIQ-Ausnutzung bekannt | LOW3.7 | VEX | Theoretically exploitable with users configuring their TLS listeners with one of the affected curves. Practically nobody does this though so the actual impact is effectively zero. |
| CVE-2026-77696 | openssl 3.5.8 |
WebIQ Server
|
Ausnutzbar; keine aktive WebIQ-Ausnutzung bekannt | LOW3.7 | VEX | Theoretically exploitable with users configuring their TLS listeners with one of the affected curves. Practically nobody does this though so the actual impact is effectively zero. |
| CVE-2026-77696 | openssl 3.5.8 |
IOHandler ModBus
|
Ausnutzbar; keine aktive WebIQ-Ausnutzung bekannt | LOW3.7 | VEX | Theoretically exploitable with users configuring their TLS listeners with one of the affected curves. Practically nobody does this though so the actual impact is effectively zero. |
| CVE-2026-77696 | openssl 3.5.8 |
IOHandler OPC-UA
|
Ausnutzbar; keine aktive WebIQ-Ausnutzung bekannt | LOW3.7 | VEX | Theoretically exploitable with users configuring their TLS listeners with one of the affected curves. Practically nobody does this though so the actual impact is effectively zero. |
3. Aktiv in WebIQ ausgenutzt0
Diese Kategorie wird nur befüllt, wenn der VEX-Datensatz die aktive Ausnutzung in WebIQ explizit kennzeichnet.
Bisher keine bekannte oder gemeldete aktive Ausnutzung in WebIQ.
4. Nicht evaluierte Sicherheitslücken6
Hier erscheinen insbesondere Schwachstellen aus vdr.json, für die noch kein passender Eintrag in der VEX-Datei der Komponente vorliegt. Zusätzlich werden VEX-Einträge mit noch nicht abschließend bewertetem Status hier geführt.
Diese WebIQ-Version wird nicht mehr unterstützt. Nicht evaluierte Schwachstellen sollten daher vorsorglich so behandelt werden, als wären sie ausnutzbar. Aktualisieren Sie auf die neueste unterstützte Version 2.21.0.
| Kennung | External Dependency | WebIQ-Komponente | Bewertung | Schweregrad |
|---|---|---|---|---|
| GHSA-jqcg-44mw-7w3h | proxy-addr 2.0.7 |
WebIQ Designer
|
Nicht durch Smart-HMI bewertet | CRITICAL9.1 |
| GHSA-6j4f-fj2g-mc7p | brace-expansion 5.0.9 |
WebIQ Designer
|
Nicht durch Smart-HMI bewertet | HIGH7.5 |
| GHSA-qhr7-859c-m2p7 | brace-expansion 5.0.9 |
WebIQ Designer
|
Nicht durch Smart-HMI bewertet | HIGH7.5 |
| GHSA-q2hr-2g5m-vwhr | brace-expansion 5.0.9 |
WebIQ Designer
|
Nicht durch Smart-HMI bewertet | MEDIUM5.3 |
| GHSA-p98j-92pf-mc4p | dompurify 3.4.15 |
WebIQ Designer
|
Nicht durch Smart-HMI bewertet | LOW2.3 |
| GHSA-6688-9rhm-gjv2 | dompurify 3.4.15 |
WebIQ Designer
|
Nicht durch Smart-HMI bewertet | LOW |