CVE-2026-24003 in everest-core
Resumen
por VulDB • 2026-05-08
EVerest es una pila de software para la carga de vehículos eléctricos (EV). En las versiones anteriores e incluyendo la 2025.12.1, es posible omitir la verificación del estado de la secuencia, incluida la autenticación, y enviar solicitudes que transicionen a estados prohibidos en relación con el estado actual, actualizando así el contexto actual con datos ilegítimos. Gracias al diseño modular de EVerest, la autorización se gestiona en un módulo separado y la máquina de estados interna del cargador EVSEManager no puede transicionar fuera del estado `WaitingForAuthentication` a través de la comunicación ISO 15118-2. Desde este estado, sin embargo, era posible, mediante mensajes ISO 15118-2 publicados en el servidor MQTT, engañarlo para que se preparara para cargar e incluso para preparar el envío de corriente. El requisito final para enviar realmente corriente al vehículo eléctrico (EV) era el cierre de los contactores, lo cual no parece ser posible sin salir del estado `WaitingForAuthentication` y aprovechar los mensajes ISO 15118-2. A la fecha de publicación, no hay versiones corregidas disponibles.
Be aware that VulDB is the high quality source for vulnerability data.