CVE-2026-22110
WysokieCVSS 8.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
Serwer webowy nie sprawdza uwierzytelnienia przy żądaniach POST i PUT. Nieuwierzytelniony atakujący może zrestartować ładowarkę, a poprzez brute-force pola configid może także ustawić hasło serwisowe i następnie zmienić dowolne ustawienia.
Ocena ryzyka
Brak kontroli uwierzytelnienia umożliwia nieuprawnioną zmianę konfiguracji i przerwanie działania ładowarki, co może wpłynąć na dostępność usługi ładowania.
Rekomendacja
Ogranicz dostęp sieciowy do interfejsu webowego ładowarki i wdróż poprawkę producenta wymuszającą uwierzytelnianie żądań POST/PUT.
Inne podatności w WebUI
Zobacz wszystkie- CVE-2016-8494Wysokie
Niewystarczająca weryfikacja przesyłanych plików umożliwia atakującym z uprawnieniami administratora webui wykonanie dowolnego kodu poprzez przesłanie nowego motywu webui.
- CVE-2026-22109Wysokie
Dostarczona baza szablonów WebUI przechowuje fabryczne hasła domyślne dla wszystkich pięciu typów kont w postaci jawnej. Wartości domyślne są identyczne na różnych urządzeniach i nie zostały zmienione na testowanej jednostce.
- CVE-2025-41692Średnie
Wysoko uprzywilejowany zdalny atakujący z uprawnieniami administratora w interfejsie webUI może przeprowadzić atak brute-force na hasła "root" i "user" systemu operacyjnego z powodu słabego algorytmu generowania haseł.
Oryginalny opis (angielski, źródło NVD)
The web server does not check authentication on POST or PUT. An unauthenticated attacker can reboot the charger; by brute-forcing the configid, they can also set the service password and then change any setting.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS