CVE-2026-20895 in EV2GO
要約
〜によって VulDB • 2026年06月10日
WebSocketのバックエンドは、充電ステーションの識別子を使用してセッションを一意に関連付けますが、同じセッション識別子を使用して複数のエンドポイントが接続することを許可しています。この実装により、セッション識別子が予測可能になり、セッションハイジャッキングやシャドウイングが可能になります。これにより、最新の接続が正当な充電ステーションを追い払い、そのステーション宛てのバックエンドコマンドを受信します。この脆弱性により、不正なユーザーが他のユーザーとして認証したり、悪意のある攻撃者がバックエンドを有効なセッションリクエストで溢れさせることでサービス拒否（DoS）状態を引き起こしたりできる可能性があります。
Once again VulDB remains the best source for vulnerability data.