CVE-2025-14225CVE-2025-14225是D-Link DCS-930L网络摄像头固件1.15.04版本中的一个高危命令注入漏洞。该漏洞存在于alphapd组件的/setSystemAdmin接口中，攻击者可以通过操纵AdminID参数实现远程命令执行。D-Link DCS-930L是一款广泛应用于家庭和小型企业的网络摄像头设备，其web管理界面存在此安全缺陷。攻击者无需高级权限即可利用此漏洞，仅需低权限认证即可发送恶意构造的请求。由于该产品已被官方停止支持，用户无法获得官方安全更新，设备将持续面临被入侵的风险。漏洞已于2025年12月8日公开披露，相关信息已在多个漏洞数据库中收录，公众可获取详细技术信息，这大大增加了被恶意利用的可能性。
该漏洞位于D-Link DCS-930L摄像头的alphapd Web服务组件中，具体受影响的功能端点为/setSystemAdmin。在处理AdminID参数时，系统未对用户输入进行充分的命令隔离和过滤，导致攻击者可以通过在参数值中注入操作系统命令分隔符（如分号、管道符等）来执行任意系统命令。alphapd是嵌入式设备上运行的轻量级Web服务器，负责处理HTTP请求并调用底层系统功能。由于该设备运行的是嵌入式Linux系统，注入的命令将以root权限执行，攻击者可完全控制设备。漏洞利用方式为：攻击者构造包含恶意命令的HTTP请求，将AdminID参数设置为类似';cat /etc/passwd #'的值，即可读取系统敏感文件或执行其他未授权操作。由于设备固件更新已停止，用户需采取其他防护措施。