FICHE CVE

CVE-2025-15574

Publiée le 2026-02-12 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les appareils SolaX Power Pocket sont concernés car leurs mots de passe MQTT sont dérivés d'un numéro d'enregistrement visible publiquement via un algorithme prévisible. Un attaquant ayant accès au réseau et disposant du numéro d'enregistrement de votre appareil peut usurper l'identité de votre onduleur pour lire des données ou envoyer des commandes non autorisées. Cela ne nécessite ni authentification ni interaction de l'utilisateur, ce qui rend l'exécution relativement simple une fois le numéro d'enregistrement obtenu.

CVSS 3.16.5 MOYENNE

Type de faiblesse

CWE-330

Publiée2026-02-12

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéFaible

Impact sur l'intégritéFaible

Impact sur la disponibilitéAucun

RÉFÉRENCES

551230f0-3615-47bd-b7cc-93e92e730bbf

Description officielle du NVD (en anglais)

When connecting to the Solax Cloud MQTT server the username is the "registration number", which is the 10 character string printed on the SolaX Power Pocket device / the QR code on the device. The password is derived from the "registration number" using a proprietary XOR/transposition algorithm. Attackers with the knowledge of the registration numbers can connect to the MQTT server and impersonate the dongle / inverters.