أصدر فريق الاستجابة للطوارئ الحاسوبية الهندي (CERT-In) في 4 نوفمبر 2026 نشرة أمنية صنفها عالية الخطورة، تحذر من أربع ثغرات في تطبيقي iRA 2.0 وiRA.ev من شركة Tata Motors، قد يستغلها مهاجم للحصول على بيانات اعتماد حساسة أو الوصول إلى معلومات المركبة وخدماتها. وتنسب النشرة اكتشاف الثغرات إلى الباحث Pranav Rajendran.
التطبيقان من Tata Motors لأصحاب مركباتها. فبحسب صفحة iRA 2.0 على App Store يتيح التطبيق أوامر عن بعد للمركبة ومتابعة حالتها وصحتها وتفاصيل رحلاتها، إضافة إلى حجز الصيانة وطلب المساعدة على الطريق، أما iRA.ev فيخدم مالكي مركباتها الكهربائية المتصلة بالميزات نفسها مع مجمع لنقاط الشحن ومخطط للمسارات.
أولى الثغرات CVE-2026-121144 بتقييم 8.8 بحسب CERT-In بمقياس CVSS 4.0، وسببها وجود بيانات اعتماد لحساب خدمة ومفاتيح API ورموز تفويض داخل حزمة التطبيق نفسها. وتقول النشرة إن مهاجماً غير مصادق يستطيع عن بعد تنزيل الحزمة واستخراج هذه البيانات، ما قد يتيح له الوصول إلى خدمات خلفية مرتبطة بالتطبيق، وربما إلى معلومات حساسة أو تنفيذ عمليات غير مصرح بها.
ثغرتان تتصلان بانتحال صفة المستخدم. الأولى CVE-2026-121145 بتقييم 7.1، وسببها تحقق ناقص من الروابط والأصول التي يحملها مكون WebView في التطبيق. والثانية CVE-2026-121146 بتقييم 6.8، وهي الوحيدة بدرجة متوسطة، وسببها تسجيل رموز المصادقة في سجلات التطبيق المستخدمة للتطوير والتصحيح، ويشترط استغلالها أن يصل المهاجم إلى هذه السجلات محلياً، فيسترجع الرموز ويستعملها لانتحال صفة المستخدم.
الثغرة الرابعة بتقييم 8.5 بحسب سجل CVE-2026-121147، وسببها تطبيق غير سليم لتثبيت شهادات SSL (certificate pinning) في إعدادات الشبكة بالتطبيق، فتصبح ضوابط التثبيت غير فعالة.
تؤثر الثغرات في الإصدارات 26.7.3 وما قبلها من iRA 2.0، و26.7.2 وما قبلها من iRA.ev، والإصلاح بالترقية إلى الإصدار 26.8.2 في الأول والإصدار 26.9.1 في الثاني.
لا تذكر النشرة ولا سجلات CVE استغلالاً فعلياً لأي من الثغرات الأربع، ولا تحدد طرازات المركبات المتأثرة، ولا تذكر حلاً مؤقتاً غير الترقية. ولا تظهر الثغرات في فهرس CISA للثغرات المستغلة فعلياً (KEV) بحسب نسخته المنشورة في 4 نوفمبر. ولم نعثر على بيان من Tata Motors بشأنها.
