概述
CVE-2025-66261是一个未经身份验证的操作系统命令注入漏洞，影响DB Electronica Telecomunicazioni S.p.A. Mozart FM发射机的多个版本。
漏洞描述
在DB Electronica Telecomunicazioni S.p.A. Mozart FM发射机版本30、50、100、300、500、1000、2000、3000、3500、6000、7000中，存在未经身份验证的操作系统命令注入漏洞（restore_settings.php）。
/var/tdf/restore_settings.php端点将用户控制的$_GET["name"]参数通过urldecode()处理后，未经任何验证或转义直接传递给exec()函数。攻击者可以使用元字符（;、|、&&等）注入任意shell命令，从而以Web服务器用户身份实现未经身份验证的远程代码执行。
漏洞时间线
- 发布日期：2025年11月26日 01:16
- 最后修改：2025年11月26日 01:16
- 远程利用：是
受影响产品
目前尚未记录受影响的具体产品信息：
- 受影响供应商总数：0
- 受影响产品总数：0
CVSS评分
| 分数 | 版本 | 严重等级 | 向量 | 可利用性分数 | 影响分数 | 来源 |
|---|---|---|---|---|---|---|
| 9.9 | CVSS 4.0 | 严重 | - | - | - | b7efe717-a805-47cf-8e9a-921fca0ce0ce |
解决方案
- 更新软件到最新版本
- 立即应用供应商补丁
- 审查并清理所有用户输入
- 禁用或限制restore_settings.php端点访问
相关参考资料
CWE关联
CWE-78：操作系统命令中使用的特殊元素的不当中和（OS命令注入）
CAPEC攻击模式
- CAPEC-6：参数注入
- CAPEC-15：命令分隔符
- CAPEC-43：利用多输入解释层
- CAPEC-88：OS命令注入
- CAPEC-108：通过SQL注入执行命令行
漏洞历史记录
| 动作 | 类型 | 旧值 | 新值 |
|---|---|---|---|
| 新增 | 描述 | - | 漏洞详细描述 |
| 新增 | CVSS V4.0 | - | AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X |
| 新增 | CWE | - | CWE-78 |
| 新增 | 参考 | - | https://www.abdulmhsblog.com/posts/webfmvulns/ |