CVE-2024-10914 - Удаленное выполнение кода (RCE) в D-Link

Этот репозиторий содержит эксплойт proof-of-concept (PoC) для критической уязвимости, затрагивающей устройства NAS от D-Link. Ошибка, отслеживаемая как CVE-2024-10914, влияет на следующие модели:

• D-Link DNS-320
• D-Link DNS-320LW
• D-Link DNS-325
• D-Link DNS-340L

Уязвимость находится в функции cgi_user_add, которая является частью скрипта /cgi-bin/account_mgr.cgi.
Ошибка возникает из-за того, что параметр name не проверяется должным образом перед использованием в системных командах.
Это позволяет злоумышленнику отправлять вредоносные данные (команды ОС) в поле name для выполнения любых команд на устройстве. Например, злоумышленник может отправить/выполнить команду id через путь поля name /cgi-bin/account_mgr.cgi?cmd=cgi_user_add&name=%27;id;%27

Отказ от ответственности

Данный PoC предназначен только для тестирования и обучения. Я не несу ответственности за любое незаконное или вредоносное использование этого кода. Всегда действуйте ответственно при исследовании или тестировании уязвимостей.