CVE-2024-10914 - Exécution de code à distance (RCE) sur D-Link

Ce dépôt contient une preuve de concept (PoC) pour une vulnérabilité critique affectant les appareils NAS D-Link. Le bug, référencé sous le nom CVE-2024-10914, concerne les modèles suivants :

• D-Link DNS-320
• D-Link DNS-320LW
• D-Link DNS-325
• D-Link DNS-340L

La vulnérabilité se trouve dans une fonction appelée cgi_user_add, qui fait partie du script /cgi-bin/account_mgr.cgi.
Le bug provient du fait que le paramètre name n'est pas correctement vérifié avant d'être utilisé dans des commandes système.
Cela permet à un attaquant d'envoyer une entrée malveillante (commandes système) dans le champ name pour exécuter ce qu'il veut sur l'appareil. Par exemple, un attaquant peut envoyer/exécuter une commande id via le chemin du champ name /cgi-bin/account_mgr.cgi?cmd=cgi_user_add&name=%27;id;%27

Avertissement

Cette PoC est uniquement destinée à des fins de test et d'apprentissage. Je ne suis pas responsable de toute utilisation illégale ou nuisible de ce code. Agissez toujours de manière responsable lors de la recherche ou du test de vulnérabilités.