文章总结： EVokeSystems充电站管理系统所有版本存在四个严重漏洞，攻击者可劫持会话、扰乱充电运营并窃取数据。漏洞包括WebSocket端点身份验证缺失、API速率限制缺陷、会话ID可预测及认证标识符暴露。建议升级至OCPP安全配置2/3并实施会话限制等措施。 综合评分： 82 文章分类： 漏洞分析,威胁情报,IoT安全,漏洞预警,解决方案

Evoke Systems 充电站管理系统存在四个严重漏洞，劫持活动会话干扰充电运营

Do Sun Do Sun

代码卫士

2026年6月30日 21:36 江苏

在小说阅读器读本章

去阅读

  聚焦源代码安全，网罗国内外最新资讯！

编译：代码卫士

EVoke Systems充电站管理系统的所有版本当前均受四个严重安全漏洞影响。这些漏洞可使攻击者劫持活动会话，并扰乱日常充电运营。管理员必须立即实施现代身份验证配置，保护这些关键网络的安全。

该管理软件控制着分布于美国多个地点的电动汽车充电关键基础设施。攻击者可对存在漏洞的充电站获取未经授权的管理控制权，进而通过定向拒绝服务攻击扰乱基础服务。这一威胁危及公共充电的可用性，并破坏电网稳定性。此外，恶意人员还可能从网络中窃取敏感的运营数据。

攻击方法

该平台的主要 WebSocket 端点完全缺乏适当的身份验证检查。具体而言，CVE-2026-40702 允许攻击者以极低代价冒充合法充电站。其次，CVE-2026-50176 反映了编程接口上严重缺乏速率限制。这一缺陷使得针对后台系统的自动化暴力破解攻击成为可能。

此外，CVE-2026-54479 在应用程序内生成了高度可预测的会话标识符，多个端点可能错误地使用完全相同的会话 ID 进行连接。最后，基于 Web 的映射平台公开暴露了充电站的身份验证标识符。攻击者综合利用这些问题，可完全绕过访问控制。

利用状态

安全研究人员尚未证实这些漏洞已遭在野利用。同样，目前也不存在公开的概念验证利用代码。

受影响版本

这些严重漏洞影响所有已部署的 EVoke CSMS 软件版本。每个安装实例均需立即进行审查。

补丁或缓解措施

EVoke 强烈建议将所有充电桩升级至 OCPP 安全配置 2 或 3。这些更新的配置要求强制使用 TLS 加密和基本身份验证方法。然而，部分老旧充电桩无法支持这些现代安全标准。因此，EVoke 正在部署服务端防护措施，以拒绝未知的充电桩标识符。

此外，该平台现在将每个充电桩 ID 的活动连接限制为单个会话。后台将自动终止重复会话以防止欺骗攻击。EVoke 还将在网关层实施连接速率限制。同时，该平台正在为不受支持的老旧充电桩制定生命周期策略，包括风险分类以及与站点运营商的具体迁移规划。用户可访问 CISA 公告页面查阅官方公告。

开源卫士试用地址：https://oss.qianxin.com/#/login

代码卫士试用地址：https://sast.qianxin.com/#/login

推荐阅读

XCharge C6电动汽车充电桩存在多个严重漏洞，可导致任意代码执行

电动汽车充电网络告警：Everon OCCP 后端系统存在严重漏洞

施耐德EVlink 电动车充电站有新漏洞，可导致电动车遭劫持

原文链接

EVoke Systems Vulnerabilities Expose Charging Stations

题图：Pixabay License

本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

    觉得不错，就点个 “在看” 或 “赞” 吧~

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：代码卫士 Do Sun Do Sun《Evoke Systems 充电站管理系统存在四个严重漏洞，劫持活动会话干扰充电运营》