CVE-2025-14093CVE-2025-14093是影响Edimax BR-6478AC V3路由器1.0.15版本的OS命令注入漏洞。该漏洞存在于设备的web管理界面中，具体位于/boafrm/formTracerouteDiagnosticRun功能的sub_416990函数中。攻击者可以通过操纵traceroute诊断功能的host参数，注入任意OS命令。由于该漏洞需要高权限才能利用，但可通过远程网络攻击方式触发，CVSS评分达到4.7分（中等严重程度）。攻击成功后，攻击者可以在路由器上执行任意系统命令，可能导致设备完全沦陷、敏感信息泄露或进一步的网络攻击。Edimax厂商在收到漏洞报告后未做出任何回应，导致漏洞长期存在且已被公开利用。
该漏洞是典型的OS命令注入问题，源于Edimax BR-6478AC V3路由器Web管理界面在处理traceroute诊断功能时未对用户输入进行充分过滤。漏洞点位于formTracerouteDiagnosticRun处理函数sub_416990，当处理host参数时直接将其传递给系统命令执行层而未进行安全验证。攻击者可在host参数中插入分号或管道等命令分隔符，后跟恶意系统命令如whoami或cat /etc/passwd等。由于该功能位于路由器管理界面，理论上需要管理员权限访问，但攻击者可能通过其他认证绕过或默认凭证问题获得访问权限。