PT-2026-23711 · Websocket · Websocket

CVE-2026-20748 · Publicado 2026-03-06 · Atualizado 2026-05-06

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.6

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:H

Nome do Software Vulnerável e Versões Afetadas (versões afetadas não especificadas)

Descrição O backend WebSocket utiliza identificadores de estações de carregamento para associar sessões, mas permite que múltiplos endpoints se conectem usando o mesmo identificador de sessão. Isso resulta em identificadores de sessão previsíveis, permitindo o sequestro de sessão ou sombreamento, onde uma conexão recente pode substituir uma estação de carregamento legítima e receber comandos destinados ao backend. Isso pode permitir autenticação não autorizada ou uma condição de negação de serviço ao sobrecarregar o backend com solicitações de sessão.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

DoS

Insufficient Session Expiration

Enumeração de Fraquezas

CWE-613

Identificadores relacionados

CVE-2026-20748

Produtos afetados

Websocket

Referências · 5

• https://github.com/cisagov/CSAF/blob/develop/csaf_files/OT/white/2026/icsa-26-062-08.json · Nota
• https://twitter.com/CVEnew/status/2029975486785638665 · Publicação no Twitter
• https://t.me/cveNotify/162363 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2026-20748 · Nota de Segurança
• https://cisa.gov/news-events/ics-advisories/icsa-26-062-08 · Nota