PT-2025-25185
CVE-2025-29756
·
تاريخ النشر
2025-06-11
·
تاريخ التحديث
2025-06-11
الوصف من
CVSS 4.0
8.3
عاليةالمقاييسAV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:H/SI:N/SA:N/AU:Y
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
نظام المستخدمين الخلفي iSolarCloud التابع لشركة SunGrow (لم يتم تحديد الإصدارات المتأثرة)
الوصف
تتعلق المشكلة بخدمة MQTT التي يستخدمها iSolarCloud لنقل البيانات من الأجهزة المتصلة إلى متصفح الويب الخاص بالمستخدم. يفتقر خادم MQTT إلى قيود كافية على الاشتراكات في الموضوعات، مما يسمح بالوصول غير المصرح به إلى البيانات. على الرغم من أن البيانات مشفرة وأن بيانات اعتماد MQTT يتم الحصول عليها من خلال استدعاء واجهة برمجة التطبيقات (API)، يمكن للمهاجم استخراج بيانات الاعتماد هذه ومفتاح فك التشفير من المتصفح. وهذا يمكّن المهاجم من الاشتراك في أي موضوع، بما في ذلك موضوع «#»، مما سيسمح له بتلقي جميع الرسائل من جميع الأجهزة المتصلة.
التوصيات
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾