JVNDB-2026-005946

SteVe CommunityのSteVeにおけるアクセス制御に関する脆弱性

SteVeはオープンソースのEV充電ステーション管理システムです。バージョン3.11.0以下では、充電器がStopTransactionメッセージを送信すると、SteVeはtransactionId（1から始まる連続した整数）のみでトランザクションを検索し、要求元の充電器が元々トランザクションを開始した充電器と一致するかどうかを検証しません。そのため、認証済みの任意の充電器がネットワーク上の他の任意の充電器のアクティブなセッションを終了させることが可能です。根本的な原因はOcppServerRepositoryImpl.getTransaction()にあり、transactionIdのみでクエリを実行し、chargeBoxIdの所有権チェックを行っていないことです。バリデーターはトランザクションが存在し、すでに停止されていないことを確認しますが、本人確認は行いません。攻撃者が単一の登録済み充電器を制御している場合、連続したtransactionIdを列挙し、ネットワーク上の他のすべての充電器のアクティブセッションを同時にターゲットにしたStopTransactionメッセージを送信できます。さらに、FINDING-014（認証されていないSOAPエンドポイント）と組み合わせると、登録済み充電器が不要となり、既知のchargeBoxIdさえあれば単一のcurlコマンドで攻撃を実行可能です。問題の修正はコミット7f169c6c5b36a9c458ec41ce8af581972e5c724eに含まれています。

SteVe Community

• SteVe 3.11.0 およびそれ以前

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
さらに、当該ソフトウェアの一部が停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Any authenticated charger can terminate any other charger’s active transaction (missing ownership verification on StopTransaction)  Advisory  steve-community/steve  GitHub

1. 不適切なアクセス制御(CWE-284) [その他]
2. 情報不足(CWE-noinfo) [NVD評価]

1. CVE-2026-28230

1. National Vulnerability Database (NVD) : CVE-2026-28230
2. 関連文書 : Merge pull request #1975 from steve-community/check-chargeBoxId-StopT…  steve-community/steve@7f169c6  GitHub

• [2026年03月05日]
    掲載