CVE-2026-20895 in EV2GO
Riassunto
di VulDB • 17/06/2026
Il backend WebSocket utilizza gli identificativi delle stazioni di ricarica per associare in modo univoco le sessioni, ma consente a più endpoint di connettersi utilizzando lo stesso identificativo di sessione. Questa implementazione porta alla generazione di identificativi di sessione prevedibili e consente il dirottamento (hijacking) o l'ombra (shadowing) delle sessioni, in cui l'ultima connessione sostituisce la stazione di ricarica legittima e riceve i comandi del backend destinati a tale stazione. Questa vulnerabilità può consentire agli utenti non autorizzati di autenticarsi come altri utenti o permettere a un attore malintenzionato di causare una condizione di denial-of-service (DoS) sovraccaricando il backend con richieste di sessione valide.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.