FICHE CVE

CVE-2025-7770

Publiée le 2025-08-06 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les appareils CCA de Tigo Energy sont concernés car leur API distante utilise des horodatages prévisibles pour générer les identifiants de session. Un attaquant disposant d'un accès réseau basique et d'identifiants de bas niveau peut recréer ces identifiants pour contourner l'authentification et prendre le contrôle non autorisé de fonctions sensibles du système d'optimisation solaire. Cette exploitation est relativement facile à réaliser car elle ne nécessite aucune interaction de l'utilisateur et peut être exécutée à distance.

CVSS 4.08.7 ÉLEVÉE

Type de faiblesse

CWE-337

Publiée2025-08-06

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisFaibles

Interaction utilisateurAucune

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Élevée

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

ics-cert@hq.dhs.gov

Description officielle du NVD (en anglais)

Tigo Energy's CCA device is vulnerable to insecure session ID generation in their remote API. The session IDs are generated using a predictable method based on the current timestamp, allowing attackers to recreate valid session IDs. When combined with the ability to circumvent session ID requirements for certain commands, this enables unauthorized access to sensitive device functions on connected solar optimization systems.