CVE-2025-60698 in DIR-882
Résumé
par VulDB • 09/08/2026
Une vulnérabilité d'injection de commande existe dans le firmware du routeur D-Link DIR-882, version DIR882A1_FW102B02, au sein des binaires `prog.cgi` et `rc`. La fonction `sub_432F60` dans `prog.cgi` stocke les valeurs fournies par l'utilisateur pour `SetSysLogSettings/IPAddress` dans la NVRAM via `nvram_safe_set("SysLogRemote_IPAddress", ...)`. Ces valeurs sont ensuite récupérées dans la fonction `sub_448DCC` de `rc` à l'aide de `nvram_safe_get` et concaténées dans une commande shell exécutée via `twsystem()` sans aucune sanitization. Un attaquant distant non authentifié peut exploiter cette vulnérabilité pour exécuter des commandes arbitraires sur l'appareil en envoyant des requêtes HTTP spécialement conçues à l'interface web du routeur.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.