CVE-2026-8986
KrytyczneCVSS 9.5Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 65 - wyżej niż 65% wszystkich znanych CVE
Streszczenie
Oprogramowanie sprzętowe Autel Maxi Charger Single do wersji V1.03.51 jest podatne na wstrzykiwanie poleceń systemu operacyjnego podczas przetwarzania żądań OCPP GetDiagnostics. Złośliwy lub skompromitowany serwer OCPP może dostarczyć spreparowany URL diagnostyczny, co prowadzi do wykonania dowolnych poleceń na stacji ładowania.
Ocena ryzyka
Atakujący może zdalnie wykonać dowolne polecenia systemowe na stacji ładowania, co może prowadzić do przejęcia kontroli nad urządzeniem i potencjalnie wpłynąć na bezpieczeństwo sieci.
Rekomendacja
Zaktualizuj oprogramowanie sprzętowe Autel Maxi Charger Single do wersji po V1.03.51, która zawiera poprawkę. Ogranicz zaufanie do serwerów OCPP i stosuj uwierzytelnianie.
Oryginalny opis (angielski, źródło NVD)
Autel Maxi Charger Single firmware through V1.03.51 is vulnerable to OS command injection when processing OCPP GetDiagnostics requests. A malicious or compromised OCPP server can supply a crafted diagnostics URL that results in arbitrary command execution on the charging station.