CVE-2026-25114: CloudCharge cloudcharge.se: ausência de restrição a tentativas excessivas de autenticação
A API WebSocket do CloudCharge cloudcharge.se não limita o número de requisições de autenticação, fraqueza classificada como CWE-307. A NVD atribui pontuação base 9,8 (crítica), enquanto outros provedores do registro informam pontuações menores. O registro não lista versão corrigida e não há exploração confirmada nas fontes consultadas.
Visão geral
A CVE-2026-25114 afeta a API de Programação de Aplicações WebSocket do CloudCharge cloudcharge.se. Segundo o registro, a interface não restringe o número de requisições de autenticação, fraqueza mapeada como CWE-307. O aviso da CISA ICSA-26-057-03 descreve o problema.
Impacto
- Negação de serviço: a fonte afirma que um atacante poderia suprimir ou desviar indevidamente a telemetria legítima dos carregadores.
- Acesso não autorizado: a ausência de limitação de taxa pode viabilizar tentativas de força bruta contra a autenticação.
- As pontuações do registro variam de 7,5 a 9,8 conforme o provedor e o modelo de pontuação. A NVD classifica 9,8 como crítica.
Produtos e versões afetadas
- Produto listado: Cloudcharge Cloudcharge.se.
- Versões: o registro indica 'versões não especificadas pela fonte' e 'All versions'. Não há limites específicos de versão disponíveis.
- Versões corrigidas: nenhuma consta no registro. Isso não confirma que não exista correção.
Status de exploração
O registro mostra que a CVE não está no catálogo Known Exploited Vulnerabilities da CISA. Nas fontes consultadas não aparece exploração confirmada. Os dados SSVC do registro indicam exploração como none e automatizável como yes, o que é uma avaliação de apoio à decisão e não evidência de ataques. A probabilidade EPSS é 0,00494, com percentil de 0,41528.
Correção e mitigação
- Consulte o fornecedor sobre uma versão atualizada e confirme o status da correção pela página de contato de suporte da CloudCharge.
- Restrinja a exposição de rede da interface WebSocket, mantendo-a em redes segmentadas e permitindo apenas origens confiáveis.
- Aplique controles compensatórios, como registro de autenticação e monitoramento centralizado, até que a correção seja confirmada.
- Revise o arquivo legível por máquina do aviso para orientações do fornecedor: arquivo CSAF da CISA.
Orientações de detecção
- Monitore volumes incomumente altos de tentativas de autenticação no endpoint WebSocket.
- Observe lacunas ou anomalias inesperadas na telemetria dos carregadores que possam indicar interrupção.
- Gere alertas para falhas de login repetidas seguidas de login bem-sucedido a partir da mesma origem.
Limitações das informações disponíveis
O registro não fornece faixas específicas de versões afetadas, versões corrigidas, detalhes de patch do fornecedor ou descrição técnica do endpoint de autenticação. As diferenças de pontuação entre provedores não são explicadas. Datas e pontuações devem ser verificadas nas fontes primárias.
Perguntas frequentes
Qual é a fraqueza central da CVE-2026-25114?
A API WebSocket não restringe o número de requisições de autenticação, classificada como CWE-307, restrição inadequada a tentativas excessivas de autenticação.
Há exploração ativa conhecida para esta CVE?
O registro mostra que ela não está no catálogo KEV da CISA e não há exploração confirmada nas fontes consultadas.
Existe versão corrigida disponível?
O registro não lista versão corrigida. Se existe correção é desconhecido, por isso os operadores devem consultar o fornecedor para confirmar.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.