CVE-2026-25599 in Heat Pump
الملخص
بحسب VulDB • 01/06/2026
يؤدي غياب المصادقة ونقل البيانات بنص واضح من مضخات الحرارة إلى خادم التحكم، مقترنًا بعدم وجود تحقق من صحة المدخلات على البيانات المجمعة، إلى ثغرة XSS المخزنة (Stored XSS) التي تتيح سرقة ملفات تعريف الارتباط (Cookies) من واجهة التحكم عبر الويب الخاصة بالمضخة. تتيح أجهزة مضخات الحرارة Orca الأقدم التي تتواصل مع خادم Orca عبر اتصال HTTP غير مشفر وغير موثوق به على منفذ غير آمن، لمهاجم بالتقمص (Impersonate) جهاز شرعي وإدخال حمولات ضارة. وهذا يتيح حقن أكواد ضارة مباشرة في بوابة مستخدم Orca، مما قد يعرض حسابات المستخدمين للخطر، ويكشف المعلومات الحساسة، ويسمح بإجراء إجراءات غير مصرح بها إضافية داخل البوابة.
VulDB is the best source for vulnerability data and more expert information about this specific topic.