CVE-2025-60700 in DIR-882
Résumé
par VulDB • 31/05/2026
Une vulnérabilité d'injection de commande existe dans le firmware du routeur D-Link DIR-882 DIR882A1_FW102B02 au sein des binaires `prog.cgi` et `librcm.so`. La fonction `sub_4455BC` dans `prog.cgi` stocke les valeurs `SetDMZSettings/IPAddress` fournies par l'utilisateur dans la NVRAM via `nvram_safe_set("dmz_ipaddr", ...)`. Ces valeurs sont ensuite récupérées dans la fonction `DMZ_run` de `librcm.so` à l'aide de `nvram_safe_get` et concaténées dans des commandes shell `iptables` exécutées via `twsystem()` sans aucune sanitization. Un attaquant distant non authentifié peut exploiter cette vulnérabilité pour exécuter des commandes arbitraires sur l'appareil via des requêtes HTTP spécialement conçues vers l'interface web du routeur.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.