CVE-2026-13308
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 44 - wyżej niż 44% wszystkich znanych CVE
Streszczenie
W ładowarkach Autel MaxiCharger AC Elite Home występuje podatność na przepełnienie liczby całkowitej (integer underflow) podczas obsługi komunikatów WebSocket OCPP, co pozwala zdalnemu, nieuwierzytelnionemu atakującemu na wykonanie dowolnego kodu na urządzeniu.
Ocena ryzyka
Atakujący może przejąć pełną kontrolę nad ładowarką, potencjalnie zakłócając jej działanie lub wykorzystując ją do dalszych ataków.
Rekomendacja
Należy skontaktować się z producentem w celu uzyskania aktualizacji firmware ładowarki.
Inne podatności w Autel MaxiCharger AC Elite Home
Zobacz wszystkie- CVE-2026-13309Średnie
Podatność przepełnienia bufora stosu w ładowarce Autel MaxiCharger AC Elite Home umożliwia fizycznie obecnemu atakującemu wykonanie dowolnego kodu poprzez spreparowaną odpowiedź karty NFC. Do wykorzystania podatności nie jest wymagane uwierzytelnienie.
- CVE-2026-13307Średnie
Podatność przepełnienia bufora sterty w ładowarce Autel MaxiCharger AC Elite Home umożliwia fizycznie obecnemu atakującemu wykonanie dowolnego kodu poprzez spreparowane pakiety USB. Do wykorzystania podatności nie jest wymagane uwierzytelnienie.
- CVE-2026-13306Średnie
Podatność pomijania uwierzytelniania w ładowarce Autel MaxiCharger AC Elite Home przez interfejs USB umożliwia fizycznie obecnemu atakującemu dostęp do funkcji urządzenia bez uwierzytelnienia. Do wykorzystania podatności nie jest wymagane uwierzytelnienie.
- CVE-2026-13305Średnie
Podatność w procesie aktualizacji oprogramowania ładowarki Autel MaxiCharger AC Elite Home umożliwia fizycznie obecnemu atakującemu wykonanie dowolnego kodu poprzez dostarczenie nieprawidłowo zweryfikowanego obrazu aktualizacji. Do wykorzystania podatności nie jest wymagane uwierzytelnienie.
Oryginalny opis (angielski, źródło NVD)
Autel MaxiCharger AC Elite Home WebSockets Integer Underflow Remote Code Execution Vulnerability. This vulnerability allows remote attackers to execute arbitrary code on affected installations of Autel MaxiCharger AC Elite Home EV chargers. Authentication is not required to exploit this vulnerability. The specific flaw exists within the handling of WebSocket messages related to the OCPP service. The issue results from the lack of proper validation of user-supplied data, which can result in an integer underflow before allocating a buffer. An attacker can leverage this vulnerability to execute code in the context of the device. Was ZDI-CAN-29113.