CVE-2024-43662 in Iocharger
Riassunto
di VulDB • 20/06/2026
Il file binario CGI .exe può essere utilizzato per caricare file arbitrari in /tmp/upload/ o /tmp/, rispettivamente, come qualsiasi utente, sebbene l'interfaccia utente per il caricamento dei file sia mostrata solo all'utente iocadmin.
Questo problema interessa il firmware Iocharger per i modelli AC precedenti alla versione 24120701.
Probabilità: Moderata – Un attaccante dovrà avere conoscenza di questo binario CGI, ad esempio trovandolo nel firmware. Inoltre, l'attaccante avrà bisogno di un account (a basso privilegio) per accedere al file .exe o al binario CGI .exe e caricare il file, oppure convincere un utente con tale accesso a effettuare il caricamento.
Impatto: Basso – L'attaccante può caricare file arbitrari in /tmp/upload/ o /tmp/. Tuttavia, l'attaccante non è in grado di accedere o utilizzare questi file senza altre vulnerabilità.
Chiarimento CVSS. L'attacco può essere eseguito su qualsiasi connessione di rete alla quale la stazione sta ascoltando e serve l'interfaccia web (AV:N), e non ci sono misure di sicurezza aggiuntive da eludere (AC:L); l'attacco non si basa su precondizioni (AT:N). L'attacco richiede autenticazione, ma il livello di autenticazione è irrilevante (PR:L) e non richiede interazione con l'utente (UI:N). È possibile caricare file arbitrari; tuttavia, questi file non saranno in una posizione da cui possono influenzare la riservatezza o la disponibilità e avranno un impatto minimo sull'integrità del dispositivo (VC:N/VI:L/VA:N). Non vi è alcun impatto sui sistemi successivi. (SC:N/SI:N/SA:N). Sebbene questo dispositivo sia un caricabatterie per veicoli elettrici che gestisce quantità significative di energia, non ci si aspetta che questa vulnerabilità abbia impatti sulla sicurezza fisica. L'attacco può essere automatizzato (AU:Y).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.