PT-2026-23581 · Websocket · Websocket

Khaled Sarieddine + 1 · Publicado 2026-03-05 · Atualizado 2026-05-06 · CVE-2026-24912

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.6

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:H

Nome do Software Vulnerável e Versões Afetadas Versões (versões afetadas não especificadas)

Descrição O backend WebSocket utiliza identificadores de estação de carregamento para associar sessões de forma única, mas permite que múltiplos endpoints se conectem utilizando o mesmo identificador de sessão. Isso resulta em identificadores de sessão previsíveis, permitindo o sequestro de sessão (session hijacking) ou sombreamento (shadowing), onde uma conexão recente pode deslocar uma estação de carregamento legítima e receber comandos de backend destinados a ela. Isso pode permitir autenticação de usuário não autorizada ou uma condição de negação de serviço, sobrecarregando o backend com solicitações de sessão válidas.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

DoS

Insufficient Session Expiration

Enumeração de Fraquezas

CWE-613

Identificadores relacionados

CVE-2026-24912

Produtos afetados

Websocket

Referências · 7

• https://github.com/cisagov/CSAF/blob/develop/csaf_files/OT/white/2026/icsa-26-062-07.json · Nota
• https://epower.ie/support · Nota
• https://t.me/cveNotify/162361 · Publicação no Telegram
• https://twitter.com/cracbot/status/2031686806576734237 · Publicação no Twitter
• https://cisa.gov/news-events/ics-advisories/icsa-26-062-07 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-24912 · Nota de Segurança
• https://t.me/cveNotify/154444 · Publicação no Telegram