murrez/cve-2026-93958Python-PoC für CVE-2026-93958: authentifizierte Root-Befehlsinjektion in D-Link R95 BE9500 DHMAPI SetTimeSettings NTPServer, mit Check-, Exploit- und Bulk-Modus.
Python-3-PoC für CVE-2026-93958 — D-Link R95 BE9500 Firmware BE9500_1.00.16 (Build 1.01B06).
CVE-2026-93958 — OS-Command-Injection (CWE-77 / CWE-78) in /bin/ssi DHMAPI (SOAP über HTTPS). Der SetTimeSettings-Handler speichert NTPServer ohne Bereinigung; die UCI-Synchronisierung führt uci set …="%s" über eine Shell aus, sodass Backticks in NTPServer als root ausgeführt werden.
Voraussetzungen: Gültige Admin-Websitzung (Login + API-AUTH HMAC). Standardbenutzer Admin. Verwaltungsport üblicherweise 18443 (auch 443 versuchen).
Auswirkung: Vollständige Kompromittierung des Geräts (Root-RCE). Kein Hersteller-Fix für BE9500_1.00.16 dokumentiert (Sep 2026).
Öffentliche Forschung: FoundTL/D-Link-R95-BE9500
CVSS: 9.4 (v4.0) / 9.1 (v3.1, PR:H, Scope geändert).
PoC-Seite: https://pocbit.org/pocs/cve-2026-93958
Katalog: https://pocbit.org/pocs/
| Produkt | D-Link R95 BE9500 |
| Firmware | BE9500_1.00.16 / 1.01B06 |
| Vektor | POST /DHMAPI/ → SetTimeSettings / NTPServer |
| Auth | Admin + API-AUTH |
| Exploit | `cmd`-Injection; Ausgabe über /www/pocbit93958.txt |
Funktionen: Farbige CLI, --mode check, --mode exploit, Mass-Bulk (--list + -j), JSONL + exploited.txt.
pip install -r requirements.txt
python poc.py -u 192.168.2.254:18443 --mode check
python poc.py -u 192.168.2.254:18443 -U Admin -P 'YourPass' --mode exploit
python poc.py -u 192.168.2.254:18443 -U Admin -P pass --mode exploit --command "uname -a"
python poc.py --list targets.example.txt --mode exploit -j 8
python poc.py --list targets.txt --mode exploit --password SharedAdminPass -j 12
Zielzeilenformat: host[:port] [username] [password] (Tabulator/Leerzeichen).
CVE-2026-93958 PoC: D-Link R95 BE9500 DHMAPI NTPServer authentifiziertes Root-RCE. DHMAPI-Login, SetTimeSettings-Injection, Mass-Exploit. PoCbit
Nur autorisierte Tests an Geräten, die Ihnen gehören oder die Sie bewerten dürfen.