CVE-2025-13306CVE-2025-13306是D-Link多款路由器产品中发现的安全漏洞，存在于固件版本1.1.5中。该漏洞位于/boafrm/formDebugDiagnosticRun功能的host参数处理环节，攻击者可通过构造恶意请求注入操作系统命令。由于该漏洞可远程利用且仅需低权限认证，对使用受影响设备的用户构成中等程度的安全风险。攻击者可以利用此漏洞在设备上执行任意命令，从而获取设备的完全控制权、窃取网络流量或将其纳入僵尸网络。目前该漏洞的利用代码已公开披露。
该漏洞为典型的命令注入（Command Injection）问题。漏洞位于D-Link路由器Web管理界面的formDebugDiagnosticRun处理函数中，当处理host参数时未对用户输入进行充分的过滤和验证。攻击者可在host参数中插入分号、管道符等Shell命令分隔符，实现命令拼接执行。例如，通过在host参数中注入类似`;cat /etc/passwd`的Payload，可让设备执行诊断命令的同时执行任意系统命令。由于该功能本身设计用于网络诊断，攻击者无需特殊权限即可触发漏洞，但需具备网络访问能力或已获取低权限账户。成功利用后可获得root权限的远程代码执行能力。