漏洞标题
N/A
漏洞描述信息
这个漏洞允许网络相邻的黑客在受影响的D-Link DIR-1935 1.03路由器上执行任意代码。尽管要利用这个漏洞需要进行身份验证，但现有的身份验证机制可以绕过。这个具体问题存在于对SetSysEmailSettings向Web管理 portal发送的请求的处理中。在解析SetSysEmailSettings元素中的子元素时，进程在使用用户提供字符串进行系统调用之前没有正确验证该字符串。黑客可以利用这个漏洞在根上下文中执行代码。
ZDI-CAN-16149
CVSS信息
CVSS:3.1/AV:A/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
漏洞类别
N/A
漏洞标题
N/A
漏洞描述信息
This vulnerability allows network-adjacent attackers to execute arbitrary code on affected installations of D-Link DIR-1935 1.03 routers. Although authentication is required to exploit this vulnerability, the existing authentication mechanism can be bypassed. The specific flaw exists within the handling of SetSysEmailSettings requests to the web management portal. When parsing subelements within the SetSysEmailSettings element, the process does not properly validate a user-supplied string before using it to execute a system call. An attacker can leverage this vulnerability to execute code in the context of root. Was ZDI-CAN-16149.
CVSS信息
N/A
漏洞类别
OS命令中使用的特殊元素转义处理不恰当(OS命令注入)
漏洞标题
D-Link DIR-1935 操作系统命令注入漏洞
漏洞描述信息
D-Link DIR-1935是中国友讯（D-Link）公司的一款无线路由器。 D-Link DIR-1935 存在操作系统命令注入漏洞，该漏洞源于解析 SetSysEmailSettings 元素中的子元素时，进程在使用用户提供的字符串执行系统调用之前未正确验证。
CVSS信息
N/A
漏洞类别
授权问题