PT-2025-35426 · D Link · Jhttpd+1

Physicszq · Publicado 2025-08-30 · Atualizado 2025-09-04 · CVE-2025-9745

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.2

Alta

Vetor base

AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas D-Link DI-500WF versão 14.04.10A1T

Descrição Foi identificada uma falha de segurança no D-Link DI-500WF. A vulnerabilidade reside em uma função desconhecida dentro do arquivo /version upgrade.asp do componente jhttpd. A manipulação do argumento path pode levar à injeção de comandos do sistema operacional, permitindo exploração remota. O exploit foi divulgado publicamente.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

OS Command Injection

Command Injection

Enumeração de Fraquezas

CWE-78

CWE-77

Identificadores relacionados

BDU:2025-11435

CVE-2025-9745

Produtos afetados

Di-500Wf

Jhttpd

Referências · 15

• 🔥 https://github.com/physicszq/Routers/blob/main/tmp/01/poc.py · Exploit
• 🔥 https://github.com/physicszq/Routers/tree/main/tmp/01 · Exploit
• https://twitter.com/SecAideInfo/status/1963183638612176963 · Publicação no Twitter
• https://t.me/cveNotify/134008 · Publicação no Telegram
• https://twitter.com/SecAideInfo/status/1963546132275134852 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1962256643535544774 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-9745 · Nota de Segurança
• https://vuldb.com/?submit.640394 · Nota
• https://t.me/CVEtracker/31382 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2025-9745 · Aviso do Fabricante
• https://bdu.fstec.ru/vul/2025-11435 · Nota de Segurança
• https://vuldb.com/?ctiid.322044 · Nota
• https://vuldb.com/?id.322044 · Nota
• https://twitter.com/SecAideInfo/status/1962821639055315245 · Publicação no Twitter
• https://dlink.com · Nota