【安全通告】阳光电源 iSolarCloud 中的 MQTT 实现允许用户订阅逆变器数据（CVE-2025-29756）
发布日期：20250710
产品：iSolarCloud
CVE 编号：CVE-2025-29756
严重程度：高
日期： [20250710]
描述
阳光电源的后台用户系统 iSolarCloud 使用 MQTT 服务，将用户已连接设备的数据传输到用户的网页浏览器。
然而，MQTT 服务器并未设置足够的限制来限制用户可以订阅的主题。
使用账户发起的攻击 iSolarCloud.com可以从浏览器中提取 MQTT 凭据和解密密钥，然后使用外部程序订阅主题“#”，从而接收所有已连接设备发送的所有消息。
受影响的版本
存在漏洞：iSolarCloud commonService 漏洞于2025年6月7日修复，在修复前已使系统面临安全风险。
不受影响：iSolarCloud commonService 漏洞已于2025年6月7日修复，自修复以来未对系统造成任何风险。
漏洞等级
CVE-2025-29756:8.4 (/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:H/SI:N/SA:N/AU:Y/V:C）
评分基于 CVSS 4.0 标准。评分标准可参考：
缓解与修复
建议措施：iSolarCloud已于2025年6月7日完成升级和修复，客户无需进行任何操作。
补丁发布：不适用。
临时修复：不适用。
开发状态
未发现已知的野外利用。
致谢
此漏洞由 来自DIVD的Harm van den Brink.
声明
阳光电源股份有限公司提供的所有软件更新、补丁和文档均为阳光电源的专有作品。这些资料仅可用于产品维护和安全改进。严禁任何未经授权的修改、分发、反编译或逆向工程。
Sungrow 对所提供信息不作任何明示或默示保证，包括但不限于对适销性、特定用途适用性或不侵权的保证。对于因使用本文件或相关软件而产生的任何直接、间接、附带或后果性损害，Sungrow 概不负责。
阳光电源保留在不事先通知的情况下随时更新或修改本文档的权利。客户有责任及时实施安全更新，以保护其系统。