CVE-2026-24003 in everest-core
Résumé
par VulDB • 02/06/2026
EVerest est une pile logicielle pour la recharge des véhicules électriques (EV). Dans les versions allant jusqu'à la 2025.12.1 incluse, il est possible de contourner la vérification de l'état de la séquence, y compris l'authentification, et d'envoyer des requêtes qui entraînent une transition vers des états interdits par rapport à l'état actuel, mettant ainsi à jour le contexte actuel avec des données illégitimes. Grâce à la conception modulaire d'EVerest, l'autorisation est gérée dans un module séparé et la machine à états interne du chargeur EVSEManager ne peut pas quitter l'état `WaitingForAuthentication` via la communication ISO 15118-2. À partir de cet état, il était toutefois possible, via des messages ISO 15118-2 publiés sur le serveur MQTT, de le tromper afin de le préparer à la recharge, voire à l'envoi de courant. La condition finale pour envoyer effectivement du courant au véhicule électrique (EV) était la fermeture des contacteurs, ce qui ne semble pas possible sans quitter l'état `WaitingForAuthentication` et en tirant parti des messages ISO 15118-2. Au moment de la publication, aucune version corrigée n'est disponible.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.