CVE-2026-27647: Mobility46 mobility46.se Expiração Insuficiente de Sessão no Backend WebSocket
A CVE-2026-27647 afeta o backend WebSocket do mobility46.se, da Mobility46, que usa identificadores de estações de recarga para associar sessões e permite que múltiplos endpoints se conectem com o mesmo identificador de sessão. Segundo o registro, uma conexão mais recente pode substituir a estação de recarga legítima e receber comandos destinados a ela. A pontuação CVSS 3.1 base do registro é 9.8 (crítica), e nenhuma exploração confirmada aparece nas fontes consultadas.
Visão geral
A CVE-2026-27647 é uma fraqueza de gerenciamento de sessão no backend WebSocket do mobility46.se, da Mobility46. O backend usa identificadores de estações de recarga para vincular sessões e aceita que mais de um endpoint se conecte sob o mesmo identificador de sessão. O registro classifica a fraqueza subjacente como CWE-613 (Expiração Insuficiente de Sessão).
Impacto
Segundo o registro, a conexão mais recente pode deslocar a estação de recarga legítima e receber comandos do backend destinados a ela. A descrição também afirma que a falha pode permitir que usuários não autorizados se autentiquem como outros usuários e que um agente malicioso provoque negação de serviço, sobrecarregando o backend com solicitações de sessão válidas.
Produtos e versões afetadas
- Produto: Mobility46 Mobility46.se
- A fonte não especifica números de versão. O registro indica "versions not specified by the source" e "All versions", sem cadeias de versão definidas.
- Nenhuma versão corrigida é listada no registro. Isso não significa que não exista correção; significa que a informação não está disponível no registro.
Status de exploração
O catálogo KEV da CISA não lista esta CVE no registro, portanto não é possível confirmar exploração ativa nas fontes consultadas. Os campos SSVC do registro indicam exploração como "none" e automatizável como "yes". A probabilidade EPSS é 0.0061.
Remediação e mitigação
- Consulte a página de contato do fabricante referenciada no registro e solicite à Mobility46 atualização ou orientação para o mobility46.se.
- Revise o aviso ICS da CISA referenciado no registro para orientações coordenadas.
- Enquanto não houver correção confirmada pelo fabricante, restrinja a exposição de rede do backend WebSocket a redes confiáveis de estações de recarga e a caminhos administrativos.
- Monitore o backend em busca de conexões duplicadas ou inesperadas que reutilizem um identificador de estação existente.
Orientação para detecção
- Registre eventos de conexão e sinalize casos em que um segundo endpoint registra um identificador de sessão já em uso.
- Observe mudanças inesperadas no endpoint que recebe comandos para uma determinada estação de recarga.
- Acompanhe picos de solicitações de criação de sessão que possam indicar esgotamento de recursos.
Limitações das informações disponíveis
O registro apresenta pontuação CVSS 3.1 base de 9.8 pelo NVD, além de outras pontuações de provedores relacionados à CISA (7.3 no CVSS 3.1 e 6.9 no CVSS 4.0). O registro não especifica cadeias de versão afetadas, versões corrigidas nem detalhes de correção do fabricante. Os detalhes exatos do protocolo e da implementação não são descritos além do resumo acima.
Perguntas frequentes
Qual é a fraqueza central da CVE-2026-27647?
O backend WebSocket permite que múltiplos endpoints se conectem com o mesmo identificador de sessão, então uma conexão mais recente pode deslocar a estação de recarga legítima. O registro classifica isso como CWE-613.
Esta CVE é conhecida por ser explorada ativamente?
Não. O catálogo KEV da CISA não a lista no registro, e nenhuma exploração confirmada aparece nas fontes consultadas.
Quais versões são afetadas?
O registro não especifica cadeias de versão. Ele indica apenas que o produto afeta todas as versões, sem números de versão definidos nem uma versão corrigida.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.