CVE-2026-25851: Chargemap chargemap.com Falta de Autenticação em Função Crítica

Visão geral

A CVE-2026-25851 é um problema de falta de autenticação (CWE-306) em endpoints WebSocket usados pela Chargemap no chargemap.com. Segundo o registro, o endpoint WebSocket OCPP pode ser acessado usando um identificador de estação de recarga conhecido ou descoberto, sem nenhuma etapa de autenticação. A entrada de CNA é a ICS-CERT, e o registro tem status de fonte Modified.

Impacto

O registro descreve três consequências principais:

Personificação não autorizada de estações, em que um cliente age como um carregador legítimo.
Manipulação de dados enviados ao backend, o que pode corromper registros da rede de recarga.
Possível escalada de privilégios e controle não autorizado da infraestrutura de recarga.

A pontuação base da NVD é 9.8 (crítica), com alto impacto em confidencialidade, integridade e disponibilidade, sem exigência de privilégios nem de interação do usuário. A entrada SSVC do registro indica impacto técnico total e que o ataque é automatizável.

Produtos e versões afetadas

Produto: Chargemap Chargemap.com.
O registro indica as versões afetadas como não especificadas pela fonte e também como todas as versões. Nenhum número de versão é informado.
O registro não contém versões corrigidas. Isso não significa que não exista correção; significa apenas que o registro não informa uma.

Consulte a página de suporte do fornecedor para orientações atuais: suporte da Chargemap.

Status de exploração

A vulnerabilidade não consta no catálogo KEV no registro. Nenhuma exploração ativa confirmada ou exploração no mundo real é declarada nas fontes consultadas. A probabilidade EPSS é de cerca de 0,98 por cento, com percentil de cerca de 62 por cento, e o campo de exploração SSVC está como none. São estimativas e não confirmam ataques reais.

Correção e mitigação

O registro não descreve um patch do fornecedor. Medidas defensivas que os operadores podem considerar incluem:

Acompanhar a orientação do aviso CISA ICS ICSA-26-057-05 e da página de suporte da Chargemap.
Restringir a exposição de rede dos sistemas de gestão de estações e dos endpoints OCPP, permitindo acesso somente a partir de redes e segmentos confiáveis.
Inventariar estações e conexões com o backend, validando que apenas carregadores esperados se comunicam com o backend.
Coordenar com o fornecedor para confirmar se controles de autenticação podem ser habilitados ou se há correção disponível.

Orientações de detecção

Monitorar conexões WebSocket OCPP para identificadores de carregadores conectando-se de origens inesperadas ou de várias origens ao mesmo tempo.
Revisar logs do backend em busca de sessões de estação sem eventos de autenticação esperados ou com dados de recarga inconsistentes.
Gerar alertas para mudanças abruptas em registros da rede de recarga que não correspondam à atividade física das estações.

Limitações das informações disponíveis

O registro não identifica versões afetadas ou versões corrigidas específicas, não descreve o mecanismo exato de autenticação envolvido e não contém detalhes de patch do fornecedor. As fontes consultadas não confirmam exploração. Algumas rótulos de versão do produto no registro são genéricos e devem ser verificados diretamente com o fornecedor.

Perguntas frequentes

O que é a CVE-2026-25851?

É um problema de falta de autenticação (CWE-306) nos endpoints WebSocket da Chargemap no chargemap.com, incluindo o endpoint OCPP, que pode permitir a personificação não autenticada de estações.

Esta vulnerabilidade está sendo explorada ativamente?

O registro indica que ela não consta no catálogo KEV da CISA, e nenhuma exploração ativa confirmada é declarada nas fontes consultadas.

Quais versões são afetadas e existe correção?

O registro não especifica números de versão e não informa versões corrigidas. Confirme o status atual diretamente na página de suporte do fornecedor.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.