漏洞关键信息 漏洞类型 远程命令注入 (RCE) 影响版本 D-Link DIR-823X (250416) 漏洞描述 漏洞位置: D-Link DIR-823X 的 接口存在输入验证不当的问题。 具体问题: - 参数的输入未被充分验证。 - 黑名单过滤器遗漏了换行符 ，导致攻击者可通过换行符绕过过滤器，执行任意系统命令。 漏洞分析 漏洞代码 函数: - 调用 进行输入验证。 - 在黑名单中遗漏了换行符 。 - 代码示例: 黑名单绕过 审批代码: - 使用硬编码的黑名单过滤危险字符: - 黑名单包括 , ` , 但遗漏了 。 漏洞利用 PoC (概念验证代码): - 发送含有换行符的恶意负载执行任意命令。 - 展示了登录、发送攻击请求、验证命令执行成功的过程。 修复建议 扩充黑名单: 在 中添加 , , , , , , 等危险字符。 使用安全的 API: 将 替换为 等参数化执行 API，或使用系统提供的安全配置接口。