CVE-2026-13309
ŚrednieCVSS 6.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Podatność przepełnienia bufora stosu w ładowarce Autel MaxiCharger AC Elite Home umożliwia fizycznie obecnemu atakującemu wykonanie dowolnego kodu poprzez spreparowaną odpowiedź karty NFC. Do wykorzystania podatności nie jest wymagane uwierzytelnienie.
Ocena ryzyka
Atakujący może przejąć kontrolę nad urządzeniem, co może prowadzić do manipulacji procesem ładowania lub kradzieży danych.
Rekomendacja
Należy zaktualizować oprogramowanie ładowarki do najnowszej wersji dostępnej u producenta oraz ograniczyć fizyczny dostęp do urządzenia.
Inne podatności w Autel MaxiCharger AC Elite Home
Zobacz wszystkie- CVE-2026-13308Wysokie
W ładowarkach Autel MaxiCharger AC Elite Home występuje podatność na przepełnienie liczby całkowitej (integer underflow) podczas obsługi komunikatów WebSocket OCPP, co pozwala zdalnemu, nieuwierzytelnionemu atakującemu na wykonanie dowolnego kodu na urządzeniu.
- CVE-2026-13307Średnie
Podatność przepełnienia bufora sterty w ładowarce Autel MaxiCharger AC Elite Home umożliwia fizycznie obecnemu atakującemu wykonanie dowolnego kodu poprzez spreparowane pakiety USB. Do wykorzystania podatności nie jest wymagane uwierzytelnienie.
- CVE-2026-13306Średnie
Podatność pomijania uwierzytelniania w ładowarce Autel MaxiCharger AC Elite Home przez interfejs USB umożliwia fizycznie obecnemu atakującemu dostęp do funkcji urządzenia bez uwierzytelnienia. Do wykorzystania podatności nie jest wymagane uwierzytelnienie.
- CVE-2026-13305Średnie
Podatność w procesie aktualizacji oprogramowania ładowarki Autel MaxiCharger AC Elite Home umożliwia fizycznie obecnemu atakującemu wykonanie dowolnego kodu poprzez dostarczenie nieprawidłowo zweryfikowanego obrazu aktualizacji. Do wykorzystania podatności nie jest wymagane uwierzytelnienie.
Oryginalny opis (angielski, źródło NVD)
Autel MaxiCharger AC Elite Home NFC Stack-based Buffer Overflow Arbitrary Code Execution Vulnerability. This vulnerability allows physically present attackers to execute arbitrary code on affected installations of Autel MaxiCharger AC Elite Home EV chargers. Authentication is not required to exploit this vulnerability. The specific flaw exists within the handling of card responses via the NFC interface. A crafted card response can trigger an overflow of a fixed-length stack-based buffer. An attacker can leverage this vulnerability to execute code in the context of the device. Was ZDI-CAN-29044.