CVE-2026-18844
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
Oprogramowanie układowe urządzenia Pulsetto Vagus Nerve Stimulator akceptuje kilka nieujawnionych poleceń przez interfejs Bluetooth Low Energy (BLE). Polecenia te są wysyłane bez uwierzytelniania i szyfrowania, nigdy nie są wydawane przez towarzyszącą aplikację mobilną, ale są w pełni przetwarzane przez urządzenie, gdy jest włączone.
Ocena ryzyka
Osoba atakująca w zasięgu BLE może wysyłać nieautoryzowane polecenia do urządzenia medycznego, co może prowadzić do niepożądanych działań stymulatora i potencjalnie zagrażać bezpieczeństwu użytkownika.
Rekomendacja
Zaleca się aktualizację oprogramowania układowego urządzenia do wersji, która wymaga uwierzytelniania i szyfrowania dla poleceń BLE, oraz ograniczenie zasięgu BLE, jeśli to możliwe.
Oryginalny opis (angielski, źródło NVD)
The firmware of the Pulsetto Vagus Nerve Stimulator accepts several undisclosed commands over its Bluetooth Low Energy (BLE) interface. These commands are sent without authentication or encryption, and are never issued by the companion mobile application, yet are fully processed by the device when it is powered on.