CVE-2026-97212
WysokieCVSS 7.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
Backend WebSocket używa identyfikatorów stacji ładowania do jednoznacznego kojarzenia sesji, ale pozwala wielu punktom końcowym na połączenie przy użyciu tego samego identyfikatora sesji. Ta implementacja skutkuje przewidywalnymi identyfikatorami sesji. Podatność ta może pozwolić nieautoryzowanym użytkownikom na uwierzytelnienie jako inni użytkownicy lub umożliwić złośliwemu aktorowi przeprowadzenie ataku typu denial-of-service poprzez przeciążenie backendu prawidłowymi żądaniami sesji.
Ocena ryzyka
Może to prowadzić do nieautoryzowanego dostępu do kont innych użytkowników lub do przerwania działania usługi.
Rekomendacja
Zmień mechanizm generowania identyfikatorów sesji na losowe i unikalne oraz ogranicz możliwość używania tego samego identyfikatora przez wiele punktów końcowych.
Inne podatności w WebSocket backend
Zobacz wszystkie- CVE-2026-27649Wysokie
Backend WebSocket wykorzystuje identyfikatory stacji ładowania do unikalnego powiązania sesji, ale pozwala na wiele punktów końcowych łączących się za pomocą tego samego identyfikatora sesji. To prowadzi do przewidywalnych identyfikatorów sesji, co umożliwia przejęcie sesji lub jej cieniowanie.
- CVE-2026-27764Wysokie
Backend WebSocket wykorzystuje identyfikatory stacji ładowania do unikalnego powiązania sesji, ale pozwala na wiele punktów końcowych łączących się za pomocą tego samego identyfikatora sesji. To prowadzi do przewidywalnych identyfikatorów sesji, co umożliwia przejęcie sesji lub jej cieniowanie.
- CVE-2026-20748Wysokie
Backend WebSocket wykorzystuje identyfikatory stacji ładowania do unikalnego powiązania sesji, ale pozwala na wiele punktów końcowych łączących się za pomocą tego samego identyfikatora sesji. To prowadzi do przewidywalnych identyfikatorów sesji, co umożliwia przejęcie sesji lub jej cieniowanie.
- CVE-2026-54479Wysokie
Podatność w backendzie WebSocket pozwala na przewidywalne identyfikatory sesji, ponieważ wiele punktów końcowych może łączyć się z tym samym identyfikatorem sesji. Umożliwia to nieautoryzowanym użytkownikom podszywanie się pod innych lub przeprowadzenie ataku DoS poprzez przeciążenie backendu prawidłowymi żądaniami sesji.
Oryginalny opis (angielski, źródło NVD)
The WebSocket backend uses charging station identifiers to uniquely associate sessions but allows multiple endpoints to connect using the same session identifier. This implementation results in predictable session identifiers. This vulnerability may allow unauthorized users to authenticate as other users or enable a malicious actor to cause a denial-of-service condition by overwhelming the backend with valid session requests.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS