CVE-2026-121146 Exposición de tokens de autenticación en las aplicaciones iRA e iRA.ev de Tata Motors
Las aplicaciones iRA 2.0 e iRA.ev registran tokens de autenticación en los logs de desarrollo y depuración. Un atacante local con acceso a los logs puede recuperar y reutilizar los tokens de sesión para suplantar al usuario y acceder a información y servicios del vehículo.
CVSS 4.0
- Probabilidad de explotación · EPSS del 09/110,1 % · percentil 1
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
Tata Motors Tata Motors iRA 2.0
versions 26.7.3 and below
Tata Motors Tata Motors iRA.ev
versions 26.7.2 and below
Qué hacer
- Verificá si usás Tata Motors iRA 2.0 y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 4.0 · 6.8 MEDIA
CVSS:4.0/AV:L/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N
- Vector de ataqueLocal
- Complejidad del ataqueBaja
- Requisitos del ataqueNinguno
- Privilegios requeridosBajos
- Interacción del usuarioNinguna
- Confidencialidad (sistema vulnerable)Alta
- Integridad (sistema vulnerable)Ninguna
- Disponibilidad (sistema vulnerable)Ninguna
- Confidencialidad (sistemas posteriores)Ninguna
- Integridad (sistemas posteriores)Ninguna
- Disponibilidad (sistemas posteriores)Ninguna
Descripción original
This vulnerability exists in the iRA 2.0 and iRA.ev mobile applications due to the recording of authentication tokens in application logs used for development and debugging. A local attacker with an access to logs could exploit this vulnerability by retrieving and misusing the exposed session tokens.
Successful exploitation of this vulnerability could allow the attacker to impersonate the associated user and gain unauthorized access to vehicle related information and services.
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.