CVE-2026-22100

WysokieCVSS 8.6

Opublikowano: 13/07/2026(UTC)Zaktualizowano: 13/07/2026(UTC)Przetłumaczono: 14/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Podwyższone ryzyko

1.04%

Percentyl 60 - wyżej niż 60% wszystkich znanych CVE

Streszczenie

Podatność w wiadomości OCPP DataTransfer `ReserveLogin` umożliwia wstrzyknięcie komend systemowych. Manipulacja wartością danych pozwala na wykonanie dowolnych poleceń systemu operacyjnego z uprawnieniami root.

Ocena ryzyka

Atakujący może zdalnie przejąć kontrolę nad systemem, wykonując dowolne polecenia jako root, co prowadzi do pełnej kompromitacji urządzenia i potencjalnego rozprzestrzenienia się ataku w sieci.

Rekomendacja

Należy natychmiast zaktualizować oprogramowanie implementujące protokół OCPP do wersji, która zawiera poprawkę usuwającą podatność na wstrzyknięcie komend. W międzyczasie ograniczyć zaufane źródła wiadomości DataTransfer.

Inne podatności w OCPP

CVE-2026-44383Wysokie
Podatność pozwala na nawiązywanie wielu połączeń z backendem przy użyciu tego samego identyfikatora stacji ładowania. Umożliwia to atakującemu uruchomienie wielu instancji złośliwych klientów OCPP w celu przeciążenia backendu.

Oryginalny opis (angielski, źródło NVD)

The OCPP DataTransfer message `ReserveLogin` is vulnerable to command injection. By manipulating the data value, arbitrary OS commands can be executed as root.