CVE-2026-25599 in Heat Pump
Zusammenfassung
von VulDB • 01.06.2026
Fehlende Authentifizierung und die Übertragung von Daten von den Wärmepumpen zum Steuerungsserver im Klartext, kombiniert mit dem Fehlen einer Eingabevalidierung für aggregierte Daten, können zu gespeichertem XSS (Cross-Site Scripting) führen, das den Diebstahl von Cookies aus der webbasierten Steuerungsschnittstelle der Pumpe ermöglicht. Ältere Orca-Wärmepumpengeräte, die mit dem Orca-Server über eine unverschlüsselte und nicht authentifizierte HTTP-Verbindung auf einem unsicheren Port kommunizieren, ermöglichen es einem Angreifer spezifisch, ein legitimes Gerät zu imitieren und bösartige Payloads einzuschleusen. Dies ermöglicht das Einfügen schädlichen Codes direkt in das Orca-Benutzerportal, was potenziell Benutzerkonten kompromittiert, sensible Informationen offenlegt und weitere unbefugte Aktionen innerhalb des Portals ermöglicht.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.