🔴 《严重安全漏洞：CVE-2026-8985》

CVSS 评分: 严重（10.0）　　状态: Received　　发布时间: 2026-07-21

漏洞简介

CVE-2026-8985 是一个存在于 Autel Maxi Charger Single 固件中的操作系统命令注入（OS command injection）漏洞，对应 CWE-78 分类。该漏洞位于设备暴露在 TCP 9002 端口上的 /test 端点中。攻击者无需任何身份验证（unauthenticated），即可通过在 url 参数中提供特制的输入（crafted input），向目标设备注入并执行任意操作系统命令（arbitrary operating system commands）。受影响的固件版本为 V1.03.51 及之前版本。

影响范围

  • 受影响产品：Autel Maxi Charger Single 固件
  • 受影响版本：所有版本直至并包括 V1.03.51
  • 攻击入口：TCP 端口 9002 上的 /test 端点
  • 攻击条件：无需认证，网络可达即可

风险分析

根据 CVSS 4.0 评分向量（CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H），该漏洞具有以下严重风险：

  1. 攻击复杂度低：攻击者无需特殊权限或用户交互，仅需通过网络发送恶意请求即可触发。
  2. 影响范围广：漏洞可被远程利用（AV:N），且攻击者能够完全控制受影响的设备，包括读取、修改或删除系统文件，以及执行任意恶意代码。
  3. 机密性、完整性和可用性全面受损：攻击成功后，设备上的敏感数据（如充电记录、用户凭证、配置信息）可能被窃取；系统配置可能被篡改；设备服务可能被中断或用于发起进一步攻击（如作为僵尸网络节点）。
  4. 波及安全域：由于评分中 SC:H/SI:H/SA:H 表示攻击可能影响受保护的安全域（如隔离网络或关键基础设施），该漏洞可能导致充电设备被用于横向移动，威胁整个内部网络的安全。

总结：该漏洞属于严重级别的远程命令执行漏洞，攻击者无需任何认证即可完全接管受影响设备，对充电基础设施的运营安全构成直接威胁。建议立即升级固件至 V1.03.51 之后的版本，并限制 TCP 9002 端口的网络暴露范围。

🔍 技术细节

字段 值
CVE ID CVE-2026-8985
CVSS 评分 10.0 🔴
严重程度 严重
CVSS 向量 CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
CWE 分类 CWE-78
发布时间 2026-07-21
最后更新 2026-07-21
状态 Received
数据来源 office@cyberdanube.com

🔗 参考链接