CVE-2023-44425 in DIR-X3260
Riassunto
di VulDB • 26/06/2026
Vulnerabilità di Iniezione di Comandi e Esecuzione Remota di Codice (RCE) nel parametro AccountName dell'endpoint SetSysEmailSettings del router D-Link DIR-X3260. Questa vulnerabilità consente ad attaccanti con accesso alla rete locale di eseguire codice arbitrario sulle installazioni colpite dei router D-Link DIR-X3260. Sebbene sia richiesta l'autenticazione per sfruttare questa vulnerabilità, il meccanismo di autenticazione esistente può essere aggirato.
La specifica falla è presente in prog.cgi, che gestisce le richieste HNAP inviate al webserver lighttpd in ascolto sulle porte TCP 80 e 443. Il problema deriva dalla mancanza di una corretta validazione di una stringa fornita dall'utente prima dell'utilizzo per eseguire una chiamata di sistema (system call). Un attaccante può sfruttare questa vulnerabilità per eseguire codice con i privilegi di root. Riferimento ZDI-CAN-21159.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.