DEV Community
·
POC — CVE-2024–10914 D-Link NAS `name` 参数中的命令注入漏洞
💡
原文英文，约300词，阅读约需1分钟。
📝
内容提要
D-Link DNS-320等设备存在CVE-2024-10914命令注入漏洞，影响cgi_user_add功能。攻击者可远程利用该漏洞，复杂度较高。受影响设备包括DNS-320、DNS-325等，需注意输入未充分清理。
🎯
关键要点
- D-Link DNS-320等设备存在CVE-2024-10914命令注入漏洞，影响cgi_user_add功能。
- 该漏洞允许攻击者远程利用，攻击复杂度较高。
- 受影响的设备包括DNS-320、DNS-320LW、DNS-325和DNS-340L。
- 漏洞主要存在于/account_mgr.cgi脚本中，name参数未充分清理输入。
- 该漏洞已公开，可能被利用。
- 使用Fofa等工具寻找潜在目标。
- 提供了克隆代码库和运行漏洞利用的命令。
➡️
