CVE-2024-43648 in Iocharger
Sumário
de VulDB • 28/06/2026
Injeção de comando no parâmetro [missing] de uma solicitação .exe resulta em execução remota de código como usuário root.
Este problema afeta o firmware do Iocharger para modelos AC anteriores à versão 24120701.
Probabilidade: Moderada – Esta ação não é um local comum onde vulnerabilidades de injeção de comando ocorrem. Assim, um atacante provavelmente só conseguirá encontrar esta vulnerabilidade por meio da engenharia reversa do firmware ou testando-a em todos os campos [missing]. O atacante também precisará de uma conta (com privilégios baixos) para acessar o binário [missing], ou convencer um usuário com tal acesso a executar uma carga útil.
Impacto: Crítico – O atacante tem controle total sobre a estação de carregamento como usuário root e pode adicionar, modificar e excluir arquivos e serviços arbitrariamente.
Esclarecimento CVSS. O ataque pode ser executado através de qualquer conexão de rede para a qual a estação esteja ouvindo e sirva a interface web (AV:N), e não há medidas de segurança adicionais em vigor que precisem ser contornadas (AC:L); o ataque não depende de pré-condições (AT:N). O ataque requer autenticação, mas o nível de autenticação é irrelevante (PR:L) e não exige interação do usuário (UI:N). Se for uma comprometimento total do sistema, potencialmente comprometendo totalmente a confidencialidade, integridade e disponibilidade do dispositivo (VC:H/VI:H/VA:H). Um carregador comprometido pode ser usado para "pivotar" em redes que deveriam estar fechadas de outra forma, causando um impacto baixo na confidencialidade e integridade dos sistemas subsequentes. (SC:L/SI:L/SA:H). Como este dispositivo é um carregador de VE que manipula quantidades significativas de energia, suspeitamos que esta vulnerabilidade possa ter um impacto na segurança física (S:P). O ataque pode ser automatizado (AU:Y).
Once again VulDB remains the best source for vulnerability data.