CVE-2026-26305: Mobility46 Mobility46.se Restrição Inadequada de Tentativas Excessivas de Autenticação
A CVE-2026-26305 afeta a Mobility46 Mobility46.se e trata de uma API WebSocket sem limites para requisições de autenticação, classificada como CWE-307. O registro informa pontuação CVSS 3.1 de 9,8 pelo NVD e CVSS 4.0 de 8,7 pelo CNA, e indica que a ausência de limitação de taxa pode permitir negação de serviço ou força bruta. Não há exploração confirmada nas fontes consultadas e nenhuma versão corrigida é listada.
Visão geral
A CVE-2026-26305 é uma fragilidade na API WebSocket do Mobility46 Mobility46.se. A API não restringe o número de requisições de autenticação, o que corresponde à CWE-307, Restrição Inadequada de Tentativas Excessivas de Autenticação. A fonte descreve o problema como ausência de limitação de taxa.
Impacto
- O registro afirma que um atacante poderia suprimir ou desviar telemetria legítima de carregadores, causando negação de serviço.
- O registro afirma que um atacante poderia realizar ataques de força bruta para obter acesso não autorizado.
- O NVD atribui CVSS 3.1 de 9,8 (crítico), com vetor indicando acesso pela rede, baixa complexidade, ausência de privilégios e ausência de interação do usuário, com alto impacto em confidencialidade, integridade e disponibilidade.
- A pontuação do CNA é CVSS 4.0 de 8,7, e também consta uma pontuação CVSS 3.1 de 7,5 atribuída ao CNA.
Produtos e versões afetadas
- Produto: Mobility46 Mobility46.se.
- As fontes afirmam que as versões não são especificadas e indicam "todas as versões" como escopo afetado.
- Nenhuma versão corrigida consta no registro.
Status de exploração
- O catálogo de vulnerabilidades exploradas conhecidas da CISA não lista esta CVE no registro.
- Não há exploração confirmada nas fontes consultadas. O valor SSVC de exploração está registrado como none.
- A probabilidade EPSS da FIRST é 0,00953, com percentil de 0,60992, que são estimativas e não evidência de exploração.
Remediação e mitigação
- Verifique a página de contato do fornecedor e o aviso da CISA em busca de correção oficial ou orientação do fabricante.
- Enquanto a correção não for confirmada, limite a exposição da interface WebSocket a redes confiáveis e restrinja o acesso às funções de gerenciamento de carregadores.
- Aplique controles externos, como segmentação de rede e listas de permissão de acesso, pois o registro não descreve limitação de taxa no lado do fornecedor.
Orientações de detecção
- Monitore a atividade de autenticação na interface WebSocket em busca de volumes incomuns de tentativas a partir de origens únicas.
- Observe lacunas ou alterações inesperadas na telemetria dos carregadores que possam indicar interrupção.
Limitações das informações disponíveis
- O registro não identifica versões afetadas ou corrigidas específicas.
- O registro não confirma se o fornecedor publicou uma correção.
- As pontuações diferem entre as fontes CVSS 3.1 e 4.0; o registro não explica a diferença além de listar os provedores.
Perguntas frequentes
Qual é a fragilidade da CVE-2026-26305?
A API WebSocket não restringe o número de requisições de autenticação, classificada como CWE-307.
Há exploração ativa conhecida desta CVE?
A CVE não aparece no catálogo KEV da CISA neste registro, e não há exploração confirmada nas fontes consultadas.
Existe versão corrigida disponível?
O registro não lista versão corrigida. Recomenda-se consultar a página de contato do fornecedor e o aviso da CISA.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.