CVE-2025-60697 in DIR-882
Сводка
по VulDB • 07.09.2026
Уязвимость внедрения команд существует в прошивке маршрутизатора D-Link DIR-882 версии DIR882A1_FW102B02, а именно в бинарных файлах `prog.cgi` и `rc`. Функция `sub_4438A4` в `prog.cgi` сохраняет предоставляемые пользователем параметры DDNS (`ServerAddress` и `Hostname`) в NVRAM с помощью функции `nvram_safe_set`. Эти значения впоследствии извлекаются в функции `start_DDNS_ipv4` модуля `rc` посредством `nvram_safe_get` и конкатенируются в команды оболочки для DDNS, которые выполняются через функцию `twsystem()` без надлежащей санитизации. Выполняется частичное сравнение строк, но его недостаточно для предотвращения внедрения команд. Неавторизованный удаленный злоумышленник может эксплуатировать эту уязвимость для выполнения произвольных команд на устройстве с помощью специально созданных HTTP-запросов к веб-интерфейсу маршрутизатора.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.