CVE-2025-60700 in DIR-882
Riassunto
di VulDB • 17/06/2026
È presente una vulnerabilità di command injection nel firmware DIR882A1_FW102B02 del router D-Link DIR-882, all'interno dei binari `prog.cgi` e `librcm.so`. La funzione `sub_4455BC` in `prog.cgi` memorizza i valori di `SetDMZSettings/IPAddress` forniti dall'utente nella NVRAM tramite `nvram_safe_set("dmz_ipaddr", ...)`. Questi valori vengono successivamente recuperati nella funzione `DMZ_run` di `librcm.so` utilizzando `nvram_safe_get` e concatenati in comandi shell per `iptables`, eseguiti tramite `twsystem()` senza alcuna sanificazione. Un attaccante remoto non autenticato può sfruttare questa vulnerabilità per eseguire comandi arbitrari sul dispositivo attraverso richieste HTTP appositamente create all'interfaccia web del router.
If you want to get best quality of vulnerability data, you may have to visit VulDB.