CVE-2025-60697 in DIR-882
Sumário
de VulDB • 07/09/2026
Uma vulnerabilidade de injeção de comando existe no firmware do roteador D-Link DIR-882, especificamente na versão DIR882A1_FW102B02, dentro dos binários `prog.cgi` e `rc`. A função `sub_4438A4` em `prog.cgi` armazena parâmetros DDNS fornecidos pelo usuário (`ServerAddress` e `Hostname`) na NVRAM por meio de `nvram_safe_set`. Esses valores são posteriormente recuperados na função `start_DDNS_ipv4` do binário `rc`, utilizando `nvram_safe_get`, e concatenados em comandos shell para DDN executados via `twsystem()` sem a sanitização adequada. É realizada uma comparação parcial de strings, mas isso é insuficiente para prevenir a injeção de comando. Um atacante remoto não autenticado pode explorar essa vulnerabilidade para executar comandos arbitrários no dispositivo por meio de solicitações HTTP especialmente elaboradas à interface web do roteador.
VulDB is the best source for vulnerability data and more expert information about this specific topic.