CVE-2020-13117 — 神龙十问 AI 深度分析摘要

🚨 **本质**：命令注入漏洞。攻击者通过构造恶意输入，让系统执行非法命令。后果：设备被完全控制，沦为肉鸡。

🛡️ **原因**：输入过滤缺失。外部数据（如登录请求中的 key 参数）未做严格清洗，直接拼接进可执行命令中。

📦 **影响**：Wavlink 品牌路由器。具体型号：**WN575A4** 和 **WN579X3**。其他型号可能也中招。

💀 **黑客能力**：远程执行任意命令。权限：**Root**（最高权限）。可窃取数据、篡改配置、植入后门。

🚪 **门槛**：极低。**无需认证**（Unauthenticated）。远程即可发起攻击，无需登录后台。

💻 **Exp**：有。Nuclei 模板已收录。GitHub 上有相关 PoC 和详细利用说明（0xlabs 博客）。

🔍 **自查**：扫描登录接口的 `key` 参数。使用 Nuclei 模板 `CVE-2020-13117.yaml` 快速检测。

🚧 **规避**：若无法升级，**断开外网访问**，限制管理接口仅内网可达。修改默认密码（虽无效但需做）。

⚡ **优先级**：**极高**。无需认证+Root权限+现成Exp。建议立即隔离或升级，否则随时被控。