CVE-2026-13305
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 2 - wyżej niż 2% wszystkich znanych CVE
Streszczenie
Podatność w procesie aktualizacji oprogramowania ładowarki Autel MaxiCharger AC Elite Home umożliwia fizycznie obecnemu atakującemu wykonanie dowolnego kodu poprzez dostarczenie nieprawidłowo zweryfikowanego obrazu aktualizacji. Do wykorzystania podatności nie jest wymagane uwierzytelnienie.
Ocena ryzyka
Atakujący może zainstalować złośliwe oprogramowanie na urządzeniu, co może prowadzić do trwałego przejęcia kontroli nad ładowarką.
Rekomendacja
Należy zaktualizować oprogramowanie ładowarki do wersji, która zawiera poprawkę weryfikacji podpisu kryptograficznego aktualizacji.
Inne podatności w Autel MaxiCharger AC Elite Home
Zobacz wszystkie- CVE-2026-13309Średnie
Podatność przepełnienia bufora stosu w ładowarce Autel MaxiCharger AC Elite Home umożliwia fizycznie obecnemu atakującemu wykonanie dowolnego kodu poprzez spreparowaną odpowiedź karty NFC. Do wykorzystania podatności nie jest wymagane uwierzytelnienie.
- CVE-2026-13308Wysokie
W ładowarkach Autel MaxiCharger AC Elite Home występuje podatność na przepełnienie liczby całkowitej (integer underflow) podczas obsługi komunikatów WebSocket OCPP, co pozwala zdalnemu, nieuwierzytelnionemu atakującemu na wykonanie dowolnego kodu na urządzeniu.
- CVE-2026-13307Średnie
Podatność przepełnienia bufora sterty w ładowarce Autel MaxiCharger AC Elite Home umożliwia fizycznie obecnemu atakującemu wykonanie dowolnego kodu poprzez spreparowane pakiety USB. Do wykorzystania podatności nie jest wymagane uwierzytelnienie.
- CVE-2026-13306Średnie
Podatność pomijania uwierzytelniania w ładowarce Autel MaxiCharger AC Elite Home przez interfejs USB umożliwia fizycznie obecnemu atakującemu dostęp do funkcji urządzenia bez uwierzytelnienia. Do wykorzystania podatności nie jest wymagane uwierzytelnienie.
Oryginalny opis (angielski, źródło NVD)
Autel MaxiCharger AC Elite Home Software Update Improper Verification of Cryptographic Signature Arbitrary Code Execution Vulnerability. This vulnerability allows physically present attackers to execute arbitrary code on affected installations of Autel MaxiCharger AC Elite Home EV chargers. Authentication is not required to exploit this vulnerability. The specific flaw exists within the handling of software updates. The issue results from the lack of proper validation of a user-supplied software update image. An attacker can leverage this vulnerability to execute code in the context of the device. Was ZDI-CAN-29062.