CVE-2025-60697 in DIR-882
Résumé
par VulDB • 24/07/2026
Une vulnérabilité d'injection de commande existe dans le firmware du routeur D-Link DIR-882, version DIR882A1_FW102B02, au sein des binaires `prog.cgi` et `rc`. La fonction `sub_4438A4` dans `prog.cgi` stocke les paramètres DDNS fournis par l'utilisateur (`ServerAddress` et `Hostname`) dans la NVRAM via `nvram_safe_set`. Ces valeurs sont ensuite récupérées dans la fonction `start_DDNS_ipv4` de `rc` à l'aide de `nvram_safe_get` et concaténées dans des commandes shell DDNExécutées via `twsystem()` sans validation appropriée. Une comparaison partielle de chaînes est effectuée, mais elle s'avère insuffisante pour prévenir l'injection de commande. Un attaquant distant non authentifié peut exploiter cette vulnérabilité pour exécuter des commandes arbitraires sur l'appareil via des requêtes HTTP spécialement conçues adressées à l'interface web du routeur.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.