ChargePoint Home Flex: Nicht authentifizierte Remote Code Execution

Beschreibung

Netzwerknahe Angreifer können auf betroffenen ChargePoint Home Flex Ladestationen beliebigen Code ausführen, ohne dass eine Authentifizierung erforderlich ist. Der Fehler liegt in der Funktion SrvrToSmSetAutoChnlListMsg, die die Länge benutzergelieferter Daten vor dem Kopieren in einen festen Stack-Puffer nicht prüft; ein Angreifer kann so Code im Kontext von root ausführen. CVSS-Basiswert: 8.8 (Hoch).

Changelog

1. 2026-07-20 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Home Assistant

• Qualcomm Multiple Chipsets Use-After-Free KEV CVE-2023-33063
• Spring Framework JDK 9+ Remote Code Execution (Spring4Shell) KEV CVE-2022-22965
• CVE-2019-11358 – Axis Communications CVE-2019-11358
• Google Home: Ausspähen und Rechteausweitung durch Angreifer in WLAN-Reichweite CVE-2023-48419
• eNet SMART HOME: aktive Standard-Zugangsdaten ermöglichen administrativen Zugriff CVE-2026-26366
• CVE-2026-26369 – Rechteausweitung im eNet SMART HOME Server CVE-2026-26369