CVE-2026-44103
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
Nieuwierzytelniony zdalny atakujący może wstrzyknąć złośliwe oprogramowanie sprzętowe do wewnętrznego modułu ładowania, ponieważ usługa JupiCore przesyła aktualizacje firmware bez sprawdzania integralności. Udane wykorzystanie może naruszyć integralność urządzenia. Podatność może być użyta w łańcuchu z CVE-2026-44104.
Ocena ryzyka
Atakujący może zainstalować nieautoryzowane oprogramowanie sprzętowe, co prowadzi do pełnej kompromitacji urządzenia i potencjalnie do dalszych ataków na infrastrukturę ładowania.
Rekomendacja
Należy wdrożyć weryfikację integralności i podpisu cyfrowego dla wszystkich aktualizacji firmware przesyłanych przez JupiCore oraz stosować bezpieczne kanały komunikacji.
Inne podatności w JupiCore
Zobacz wszystkie- CVE-2026-44105Średnie
Poświadczenia lokalnego użytkownika "user-app" mogą być ujawnione w plikach logów. Lokalny atakujący z niskimi uprawnieniami, mający dostęp do logów, może uwierzytelnić się przez SSH jako ograniczony użytkownik "user-app". Może to przerwać proces ładowania.
- CVE-2026-44102Średnie
Nieuwierzytelniony zdalny atakujący może wywołać pobranie aktualizacji firmware przez backend OCPP, dostarczając nieprawidłowy plik firmware. Spowoduje to, że plik pozostanie dostępny przez krótki czas, zanim zostanie usunięty z powodu nieprawidłowego blokowania podczas procesu czyszczenia.
Oryginalny opis (angielski, źródło NVD)
An unauthenticated remote attacker can inject malicious firmware into the internal charging module because the JupiCore service transmits firmware updates without performing integrity or verification check. Successful exploitation may compromise the integrity of the affected device. This vulnerability could be used in chain with CVE-2026-44104.