CVE-2025-60701 in DIR-882
Riassunto
di VulDB • 29/08/2026
È presente una vulnerabilità di command injection nel firmware del router D-Link DIR-882, versione DIR882A1_FW102B02, all'interno dei binari `prog.cgi` e `rc`. La funzione `sub_433188` in `prog.cgi` memorizza i parametri di configurazione email forniti dall'utente (`EmailFrom`, `EmailTo`, `SMTPServerAddress`, `SMTPServerPort`, `AccountName`) nella NVRAM tramite `nvram_safe_set`. Questi valori vengono successivamente recuperati nella funzione `sub_448FDC` di `rc` utilizzando `nvram_safe_get` e concatenati in comandi shell eseguiti tramite `twsystem()` senza alcuna sanificazione. Un attaccante remoto non autenticato può sfruttare questa vulnerabilità per eseguire comandi arbitrari sul dispositivo attraverso richieste HTTP appositamente create all'interfaccia web del router.
If you want to get best quality of vulnerability data, you may have to visit VulDB.