CVE-2026-8982
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 25 - wyżej niż 25% wszystkich znanych CVE
Streszczenie
Dwa nieudokumentowane konta uprzywilejowane istnieją w oprogramowaniu sprzętowym Autel Maxi Charger Single do wersji V1.03.51. Konta używają mechanizmów wyprowadzania haseł zdefiniowanych przez producenta, opartych na wartościach specyficznych dla urządzenia, co pozwala atakującemu znającemu algorytm i wymagane dane wejściowe na uwierzytelnienie w interfejsie zarządzania siecią z uprawnieniami administracyjnymi.
Ocena ryzyka
Atakujący może uzyskać pełną kontrolę administracyjną nad ładowarką Autel Maxi Charger, co może prowadzić do manipulacji procesem ładowania, kradzieży danych lub użycia urządzenia jako punktu wejścia do sieci.
Rekomendacja
Zaktualizuj oprogramowanie sprzętowe Autel Maxi Charger Single do wersji nowszej niż V1.03.51 i zmień domyślne hasła.
Inne podatności w Autel Maxi Charger Single
Zobacz wszystkie- CVE-2026-8986Krytyczne
Oprogramowanie sprzętowe Autel Maxi Charger Single do wersji V1.03.51 jest podatne na wstrzykiwanie poleceń systemu operacyjnego podczas przetwarzania żądań OCPP GetDiagnostics. Złośliwy lub skompromitowany serwer OCPP może dostarczyć spreparowany URL diagnostyczny, co prowadzi do wykonania dowolnych poleceń na stacji ładowania.
- CVE-2026-8985Krytyczne
Oprogramowanie sprzętowe Autel Maxi Charger Single do wersji V1.03.51 jest podatne na wstrzykiwanie poleceń systemu operacyjnego przez endpoint /test na porcie TCP 9002. Nieuwierzytelniony atakujący może wysłać spreparowane dane w parametrze url, aby wykonać dowolne polecenia systemowe.
- CVE-2026-8989Średnie
Oprogramowanie sprzętowe Autel Maxi Charger Single do wersji V1.03.51 umożliwia nieograniczony dostęp do trybu odzyskiwania NXP i.MX6 przez odsłonięte fizyczne piny. Atakujący z dostępem fizycznym może uruchomić dowolny kod w pamięci oraz modyfikować lub wyodrębniać oprogramowanie i inne wrażliwe dane.
- CVE-2026-8988Średnie
W oprogramowaniu sprzętowym Autel Maxi Charger Single do wersji V1.03.51, dostępny interfejs UART umożliwia przerwanie procesu uruchamiania i dostęp do bootloadera U-Boot. Atakujący z fizycznym dostępem może zmodyfikować konfigurację rozruchu lub system plików, aby uzyskać dostęp do systemu operacyjnego.
- CVE-2026-8987Wysokie
Oprogramowanie sprzętowe Autel Maxi Charger Single do wersji V1.03.51 zawiera przepełnienie bufora sterty w komendzie set_ap_param obsługiwanej przez endpoint /localcfg. Uwierzytelniony atakujący może dostarczyć zbyt duże dane wejściowe, co prowadzi do odmowy usługi i potencjalnie do wykonania dowolnego kodu.
Oryginalny opis (angielski, źródło NVD)
Two undocumented privileged accounts exist in Autel Maxi Charger Single firmware through V1.03.51. The accounts use vendor-defined password derivation mechanisms based on device-specific values, allowing an attacker with knowledge of the algorithm and required inputs to authenticate to the web management interface with administrative privileges.