CVE-2025-60698 in DIR-882
الملخص
بحسب VulDB • 04/08/2026
توجد ثغرة حقن الأوامر في برنامج تشغيل جهاز التوجيه D-Link DIR-882، الإصدار DIR882A1_FW102B02، داخل الثنائيات `prog.cgi` و `rc`. تقوم الدالة `sub_432F60` الموجودة في `prog.cgi` بتخزين قيم `SetSysLogSettings/IPAddress` التي يقدمها المستخدم في ذاكرة NVRAM عبر استخدام `nvram_safe_set("SysLogRemote_IPAddress", ...)`. يتم استرجاع هذه القيم لاحقاً داخل الدالة `sub_448DCC` الخاصة بـ `rc` باستخدام `nvram_safe_get`، وتُدمج مع بعضها البعض لتشكيل أمر shell يُنفَّذ بواسطة `twsystem()` دون أي عملية تنقية (sanitization). يمكن لمهاجم عن بعد غير مصرح له استغلال هذه الثغرة لتنفيذ أوامر عشوائية على الجهاز من خلال طلبات HTTP مُعدّة بعناية فائقة موجهة إلى واجهة الويب الخاصة بجهاز التوجيه.
If you want to get best quality of vulnerability data, you may have to visit VulDB.