Read the docs
TI-2019-04599 Aliases CVE-2019-6545GHSA-pqwc-c6p6-66pq

AVEVA Software, LLC InduSoft Web Studio prior to Version 8.1 SP3 and InTouch Edge HMI…

Priority MEDIUM 48CWE-99Published · Updated

Key facts

Attack vector
Network
Privileges required
None
User interaction
None
Attack complexity
Low
Impact type
—
Confidentiality · integrity · availability
None · High · None
Fix status
No fix listed

Attack profile from CVSS 3.1 · NVD. Fix status from CNA.

Summary

AVEVA Software, LLC InduSoft Web Studio prior to Version 8.1 SP3 and InTouch Edge HMI (formerly InTouch Machine Edition) prior to Version 2017 Update. An unauthenticated remote user could use a specially crafted database connection configuration file to execute an arbitrary process on the server machine.

Why it matters now

EPSS 0.13858 96th percentileScored 2026-11-07
Public exploit Yes 1 exploit referenceTagged by the CNA and NVD
Fix No fix listed No fixed version in the sources yet

SSVC decision points

Not available: CISA has not published SSVC decision points for this record.

Affected products

VendorProductAffected versionsFixed inStatusSource
ICS-CERTAVEVA Software, LLC InduSoft Web Studio prior to Version 8.1 SP3 and InTouch Edge HMI (formerly InTouch Machine Edition) prior to Version 2017 UpdateAVEVA Software, LLC InduSoft Web Studio prior to Version 8.1 SP3 and InTouch Edge HMI (formerly InTouch Machine Edition) prior to Version 2017 Update—No fix listedCNA
  • AVEVA Software, LLC InduSoft Web Studio prior to Version 8.1 SP3 and InTouch Edge HMI (formerly InTouch Machine Edition) prior to Version 2017 Update VendorICS-CERT Affected AVEVA Software, LLC InduSoft Web Studio prior to Version 8.1 SP3 and InTouch Edge HMI (formerly InTouch Machine Edition) prior to Version 2017 Update Fixed in — No fix listed CNA

CPE configurations NVD · 29

CPEVersionsRoleVendor
cpe:2.3:a:aveva:indusoft_web_studio:6.1:sp5:*:*:*:*:*:*6.1 sp5VulnerableAVEVA
cpe:2.3:a:aveva:indusoft_web_studio:6.1:sp6_p3:*:*:*:*:*:*6.1 sp6_p3VulnerableAVEVA
cpe:2.3:a:aveva:indusoft_web_studio:7.1:*:*:*:*:*:*:*7.1VulnerableAVEVA
cpe:2.3:a:aveva:indusoft_web_studio:7.1:sp1:*:*:*:*:*:*7.1 sp1VulnerableAVEVA
cpe:2.3:a:aveva:indusoft_web_studio:7.1:sp2:*:*:*:*:*:*7.1 sp2VulnerableAVEVA
cpe:2.3:a:aveva:indusoft_web_studio:7.1:sp3:*:*:*:*:*:*7.1 sp3VulnerableAVEVA
cpe:2.3:a:aveva:indusoft_web_studio:7.1:sp3_p1:*:*:*:*:*:*7.1 sp3_p1VulnerableAVEVA
cpe:2.3:a:aveva:indusoft_web_studio:7.1:sp3_p2:*:*:*:*:*:*7.1 sp3_p2VulnerableAVEVA
cpe:2.3:a:aveva:indusoft_web_studio:7.1:sp3_p3:*:*:*:*:*:*7.1 sp3_p3VulnerableAVEVA
cpe:2.3:a:aveva:indusoft_web_studio:7.1:sp3_p4:*:*:*:*:*:*7.1 sp3_p4VulnerableAVEVA
  • cpe:2.3:a:aveva:indusoft_web_studio:6.1:sp5:*:*:*:*:*:* Versions 6.1 sp5 Vulnerable ·AVEVA
  • cpe:2.3:a:aveva:indusoft_web_studio:6.1:sp6_p3:*:*:*:*:*:* Versions 6.1 sp6_p3 Vulnerable ·AVEVA
  • cpe:2.3:a:aveva:indusoft_web_studio:7.1:*:*:*:*:*:*:* Versions 7.1 Vulnerable ·AVEVA
  • cpe:2.3:a:aveva:indusoft_web_studio:7.1:sp1:*:*:*:*:*:* Versions 7.1 sp1 Vulnerable ·AVEVA
  • cpe:2.3:a:aveva:indusoft_web_studio:7.1:sp2:*:*:*:*:*:* Versions 7.1 sp2 Vulnerable ·AVEVA
  • cpe:2.3:a:aveva:indusoft_web_studio:7.1:sp3:*:*:*:*:*:* Versions 7.1 sp3 Vulnerable ·AVEVA
  • cpe:2.3:a:aveva:indusoft_web_studio:7.1:sp3_p1:*:*:*:*:*:* Versions 7.1 sp3_p1 Vulnerable ·AVEVA
  • cpe:2.3:a:aveva:indusoft_web_studio:7.1:sp3_p2:*:*:*:*:*:* Versions 7.1 sp3_p2 Vulnerable ·AVEVA
  • cpe:2.3:a:aveva:indusoft_web_studio:7.1:sp3_p3:*:*:*:*:*:* Versions 7.1 sp3_p3 Vulnerable ·AVEVA
  • cpe:2.3:a:aveva:indusoft_web_studio:7.1:sp3_p4:*:*:*:*:*:* Versions 7.1 sp3_p4 Vulnerable ·AVEVA
Show 19 more CPE
CPEVersionsRoleVendor
cpe:2.3:a:aveva:indusoft_web_studio:7.1:sp3_p5:*:*:*:*:*:*7.1 sp3_p5VulnerableAVEVA
cpe:2.3:a:aveva:indusoft_web_studio:7.1:sp3_p6:*:*:*:*:*:*7.1 sp3_p6VulnerableAVEVA
cpe:2.3:a:aveva:indusoft_web_studio:7.1:sp3_p7:*:*:*:*:*:*7.1 sp3_p7VulnerableAVEVA
cpe:2.3:a:aveva:indusoft_web_studio:7.1:sp3_p8:*:*:*:*:*:*7.1 sp3_p8VulnerableAVEVA
cpe:2.3:a:aveva:indusoft_web_studio:7.1:sp3_p9:*:*:*:*:*:*7.1 sp3_p9VulnerableAVEVA
cpe:2.3:a:aveva:indusoft_web_studio:8.0:*:*:*:*:*:*:*8.0VulnerableAVEVA
cpe:2.3:a:aveva:indusoft_web_studio:8.0:p1:*:*:*:*:*:*8.0 p1VulnerableAVEVA
cpe:2.3:a:aveva:indusoft_web_studio:8.0:p2:*:*:*:*:*:*8.0 p2VulnerableAVEVA
cpe:2.3:a:aveva:indusoft_web_studio:8.0:p3:*:*:*:*:*:*8.0 p3VulnerableAVEVA
cpe:2.3:a:aveva:indusoft_web_studio:8.0:sp1:*:*:*:*:*:*8.0 sp1VulnerableAVEVA
cpe:2.3:a:aveva:indusoft_web_studio:8.0:sp1_p1:*:*:*:*:*:*8.0 sp1_p1VulnerableAVEVA
cpe:2.3:a:aveva:indusoft_web_studio:8.0:sp2:*:*:*:*:*:*8.0 sp2VulnerableAVEVA
cpe:2.3:a:aveva:indusoft_web_studio:8.0:sp2_p1:*:*:*:*:*:*8.0 sp2_p1VulnerableAVEVA
cpe:2.3:a:aveva:indusoft_web_studio:8.1:*:*:*:*:*:*:*8.1VulnerableAVEVA
cpe:2.3:a:aveva:indusoft_web_studio:8.1:p1:*:*:*:*:*:*8.1 p1VulnerableAVEVA
cpe:2.3:a:aveva:indusoft_web_studio:8.1:sp1:*:*:*:*:*:*8.1 sp1VulnerableAVEVA
cpe:2.3:a:aveva:indusoft_web_studio:8.1:sp1_p1:*:*:*:*:*:*8.1 sp1_p1VulnerableAVEVA
cpe:2.3:a:aveva:indusoft_web_studio:8.1:sp2:*:*:*:*:*:*8.1 sp2VulnerableAVEVA
cpe:2.3:a:aveva:intouch_machine_edition_2014:r2:*:*:*:*:*:*:*r2VulnerableAVEVA
  • cpe:2.3:a:aveva:indusoft_web_studio:7.1:sp3_p5:*:*:*:*:*:* Versions 7.1 sp3_p5 Vulnerable ·AVEVA
  • cpe:2.3:a:aveva:indusoft_web_studio:7.1:sp3_p6:*:*:*:*:*:* Versions 7.1 sp3_p6 Vulnerable ·AVEVA
  • cpe:2.3:a:aveva:indusoft_web_studio:7.1:sp3_p7:*:*:*:*:*:* Versions 7.1 sp3_p7 Vulnerable ·AVEVA
  • cpe:2.3:a:aveva:indusoft_web_studio:7.1:sp3_p8:*:*:*:*:*:* Versions 7.1 sp3_p8 Vulnerable ·AVEVA
  • cpe:2.3:a:aveva:indusoft_web_studio:7.1:sp3_p9:*:*:*:*:*:* Versions 7.1 sp3_p9 Vulnerable ·AVEVA
  • cpe:2.3:a:aveva:indusoft_web_studio:8.0:*:*:*:*:*:*:* Versions 8.0 Vulnerable ·AVEVA
  • cpe:2.3:a:aveva:indusoft_web_studio:8.0:p1:*:*:*:*:*:* Versions 8.0 p1 Vulnerable ·AVEVA
  • cpe:2.3:a:aveva:indusoft_web_studio:8.0:p2:*:*:*:*:*:* Versions 8.0 p2 Vulnerable ·AVEVA
  • cpe:2.3:a:aveva:indusoft_web_studio:8.0:p3:*:*:*:*:*:* Versions 8.0 p3 Vulnerable ·AVEVA
  • cpe:2.3:a:aveva:indusoft_web_studio:8.0:sp1:*:*:*:*:*:* Versions 8.0 sp1 Vulnerable ·AVEVA
  • cpe:2.3:a:aveva:indusoft_web_studio:8.0:sp1_p1:*:*:*:*:*:* Versions 8.0 sp1_p1 Vulnerable ·AVEVA
  • cpe:2.3:a:aveva:indusoft_web_studio:8.0:sp2:*:*:*:*:*:* Versions 8.0 sp2 Vulnerable ·AVEVA
  • cpe:2.3:a:aveva:indusoft_web_studio:8.0:sp2_p1:*:*:*:*:*:* Versions 8.0 sp2_p1 Vulnerable ·AVEVA
  • cpe:2.3:a:aveva:indusoft_web_studio:8.1:*:*:*:*:*:*:* Versions 8.1 Vulnerable ·AVEVA
  • cpe:2.3:a:aveva:indusoft_web_studio:8.1:p1:*:*:*:*:*:* Versions 8.1 p1 Vulnerable ·AVEVA
  • cpe:2.3:a:aveva:indusoft_web_studio:8.1:sp1:*:*:*:*:*:* Versions 8.1 sp1 Vulnerable ·AVEVA
  • cpe:2.3:a:aveva:indusoft_web_studio:8.1:sp1_p1:*:*:*:*:*:* Versions 8.1 sp1_p1 Vulnerable ·AVEVA
  • cpe:2.3:a:aveva:indusoft_web_studio:8.1:sp2:*:*:*:*:*:* Versions 8.1 sp2 Vulnerable ·AVEVA
  • cpe:2.3:a:aveva:intouch_machine_edition_2014:r2:*:*:*:*:*:*:* Versions r2 Vulnerable ·AVEVA

Remediation

No fixed version listed by the sources yet.

Timeline

  1. 2026-10-02 Threatist record created from CVE-2019-6545
  2. 2026-10-03 Alias added: GHSA-pqwc-c6p6-66pq

References

Exploit 1

Advisory 2

  • TI-2019-04597 Missing authentication in ICS-CERT AVEVA Software, LLC InduSoft Web Studio prior to… CVSS 3.1CRITICAL 9.8
  • TI-2018-12746 InduSoft Web Studio versions prior to 8.1 SP2, and InTouch Edge HMI (formerly InTouch… CVSS 3.1CRITICAL 9.8
  • TI-2018-07509 Stack-based buffer overflow in AVEVA InduSoft Web Studio CVSS 3.1CRITICAL 9.8
  • TI-2018-12748 Stack-based buffer overflow in InduSoft Web Studio, and InTouch Edge HMI CVSS 3.1CRITICAL 9.8

Sources

This product uses the NVD API but is not endorsed or certified by the NVD. Sources and licences