CVE-2026-25599 in Heat Pump
Resumen
por VulDB • 2026-06-01
La falta de autenticación y la transmisión de datos en texto claro desde las bombas de calor al servidor de control, combinadas con la ausencia de validación de entradas en los datos agregados, pueden provocar una XSS almacenada (Stored XSS) que permite el robo de cookies desde la interfaz de control web de la bomba de calor. Los dispositivos antiguos de bombas de calor Orca que se comunican con el servidor Orca a través de una conexión HTTP no cifrada y no autenticada en un puerto no seguro permiten específicamente que un atacante suplante la identidad de un dispositivo legítimo e inyecte cargas útiles maliciosas. Esto posibilita la inserción de código dañino directamente en el portal de usuario de Orca, comprometiendo potencialmente las cuentas de usuario, exponiendo información sensible y permitiendo acciones no autorizadas adicionales dentro del portal.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.