Se han identificado múltiples vulnerabilidades que afectan a EVLink WallBox de Schneider Electric. Un actor malicioso remoto podría explotar estas vulnerabilidades para obtener el control remoto de la estación de carga.
Productos afectados
- EVLink WallBox: Todas las versiones
Impacto
Las vulnerabilidades de mayor severidad se han identificado como:
CVE-2025-5740: con una puntuación de 8.6 en CVSS v4.0. Existe una vulnerabilidad de limitación incorrecta de una ruta a un directorio restringido (Path Traversal), que podría provocar escrituras arbitrarias de archivos cuando un usuario no autenticado en el servidor web manipula la ruta del archivo.
CVE-2025-5743: con una puntuación de 7.0 en CVSS v4.0. Existe una vulnerabilidad de neutralización incorrecta de elementos especiales utilizados en un comando del sistema operativo (OS Command Injection), que podría provocar el control remoto de la estación de carga cuando un usuario autenticado modifica los parámetros de configuración en el servidor web.
Recomendación
El producto EVLink WallBox ha llegado al final de su vida útil y ya no recibe soporte. Los usuarios deberían considerar actualizar al producto de reemplazo EVLink Pro AC para resolver estos problemas.
Los usuarios deben aplicar de inmediato las siguientes medidas de mitigación para reducir los riesgos:
- Configuración y registros del firewall:
- Configure la segmentación de red e implemente un firewall para bloquear todo acceso no autorizado a los puertos HTTP.
- Revise periódicamente el registro de acceso.
- Contraseña:
- Elija una contraseña segura.
- No compartas tu contraseña
- Cambie su contraseña periódicamente.
Referencias
- https://www.cve.org/CVERecord?id=CVE-2025-5740
- https://www.cve.org/CVERecord?id=CVE-2025-5743
- https://download.schneider-electric.com/files?p_Doc_Ref=SEVD-2025-161-03&p_enDocType=Security+and+Safety+Notice&p_File_Name=SEVD-2025-161-03.pdf