CVE-2026-22093
KrytyczneCVSS 9.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
Aplikacja EVbee Service dla Androida używa szyfrowania TLS, ale nie weryfikuje certyfikatu serwera, co umożliwia atakującemu w sieci przechwycenie i manipulację komunikacją. Dodatkowo ruch jest słabo szyfrowany przy użyciu RC4 z zakodowanym na stałe kluczem, co pozwala atakującemu uzyskać dostęp do danych, w tym kodów dostępu do stacji ładowania.
Ocena ryzyka
Organizacja narażona jest na przechwycenie wrażliwych danych, takich jak kody dostępu do stacji ładowania, co może prowadzić do nieautoryzowanego użycia infrastruktury ładowania i potencjalnych strat finansowych.
Rekomendacja
Należy natychmiast zaktualizować aplikację EVbee Service do najnowszej wersji, która usuwa tę podatność, oraz wdrożyć mechanizmy weryfikacji certyfikatów po stronie klienta.
Oryginalny opis (angielski, źródło NVD)
The EVbee Service Android app uses TLS encrypted communication (HTTPS), but does not validate the certificate provided by the server. This allows an attacker on the network path between the app and EVbee server to intercept and manipulate the communication between the app and server. The traffic is weakly encrypted using RC4 with a hardcoded key, which allows an attacker to gain access to the communication. Part of this communication involves access codes to charging stations. This issue affects EVbee Service: v1.4.101.00.