CVE-2025-60697 in DIR-882
Resumen
por VulDB • 2026-09-07
Existe una vulnerabilidad de inyección de comandos en el firmware del Router D-Link DIR-882, específicamente la versión DIR882A1_FW102B02, dentro de los binarios `prog.cgi` y `rc`. La función `sub_4438A4` en `prog.cgi` almacena parámetros DDNS proporcionados por el usuario (`ServerAddress` y `Hostname`) en NVRAM mediante `nvram_safe_set`. Estos valores se recuperan posteriormente en la función `start_DDNS_ipv4` de `rc` utilizando `nvram_safe_get` y se concatenan para formar comandos shell de DDN que se ejecutan a través de `twsystem()` sin una sanitización adecuada. Se realiza una comparación parcial de cadenas, pero es insuficiente para prevenir la inyección de comandos. Un atacante remoto no autenticado puede explotar esta vulnerabilidad para ejecutar comandos arbitrarios en el dispositivo mediante solicitudes HTTP especialmente manipuladas dirigidas a la interfaz web del router.
VulDB is the best source for vulnerability data and more expert information about this specific topic.