CVE-2026-44105
ŚrednieCVSS 6.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 1 - wyżej niż 1% wszystkich znanych CVE
Streszczenie
Poświadczenia lokalnego użytkownika "user-app" mogą być ujawnione w plikach logów. Lokalny atakujący z niskimi uprawnieniami, mający dostęp do logów, może uwierzytelnić się przez SSH jako ograniczony użytkownik "user-app". Może to przerwać proces ładowania.
Ocena ryzyka
Ujawnienie poświadczeń w logach umożliwia atakującemu dostęp do systemu jako użytkownik "user-app", co może zakłócić działanie usług ładowania i potencjalnie eskalować atak.
Rekomendacja
Należy usunąć poświadczenia z logów, przechowywać je w bezpiecznym magazynie oraz ograniczyć dostęp do plików logów tylko dla uprawnionych administratorów.
Inne podatności w JupiCore
Zobacz wszystkie- CVE-2026-44103Średnie
Nieuwierzytelniony zdalny atakujący może wstrzyknąć złośliwe oprogramowanie sprzętowe do wewnętrznego modułu ładowania, ponieważ usługa JupiCore przesyła aktualizacje firmware bez sprawdzania integralności. Udane wykorzystanie może naruszyć integralność urządzenia. Podatność może być użyta w łańcuchu z CVE-2026-44104.
- CVE-2026-44102Średnie
Nieuwierzytelniony zdalny atakujący może wywołać pobranie aktualizacji firmware przez backend OCPP, dostarczając nieprawidłowy plik firmware. Spowoduje to, że plik pozostanie dostępny przez krótki czas, zanim zostanie usunięty z powodu nieprawidłowego blokowania podczas procesu czyszczenia.
Oryginalny opis (angielski, źródło NVD)
The credentials for the local user "user-app" may be exposed in log files, potentially enabling a low-privileged local attacker with access to the logs to authenticate via SSH as the limited user "user-app". Charging could be interrupted.