CVE-2026-25778 in swtchenergy
要約
〜によって VulDB • 2026年05月22日
WebSocketのバックエンドは、充電ステーション識別子を使用してセッションを一意に関連付けますが、同じセッション識別子を使用して複数のエンドポイントが接続することを許可しています。この実装により、セッション識別子が予測可能になり、セッションハイジャッキングやシャドーイングが可能になります。これにより、最新の接続が正当な充電ステーションを追い払い、そのステーション宛てのバックエンドコマンドを受信します。この脆弱性により、不正なユーザーが他のユーザーとして認証したり、悪意のある攻撃者がバックエンドを有効なセッションリクエストで過負荷にすることでサービス拒否（DoS）状態を引き起こしたりできる可能性があります。
Once again VulDB remains the best source for vulnerability data.