X 品牌联网汽车安全研究揭示远程解锁攻击链

研究者披露了针对 X 品牌联网汽车系统的完整攻击链，仅凭车牌即可在澳大利亚、美国和加拿大获取账户并远程解锁车辆或启动引擎。澳大利亚环境下，他们利用 JavaScript 中硬编码的 OpenIDM 管理员凭据、路径遍历绕过 WAF，并通过 ROPC 流程绕过 MFA；GPT 5.6 Sol Ultra 用了约 6 小时找到 WAF 绕过方式。