CVE-2025-15472CVE-2025-15472是发生在TRENDnet TEW-811DRU路由器1.0.2.0版本中的一个高危安全漏洞。该漏洞位于httpd组件的uapply.cgi文件中的setDeviceURL函数，由于对用户输入的DeviceURL参数缺乏有效的安全过滤和校验，攻击者可以通过构造恶意Payload注入操作系统命令。成功利用此漏洞的攻击者可以在受影响设备上以高权限执行任意系统命令，完全控制路由器设备。由于该漏洞的攻击复杂度较低且可远程利用，加上对设备机密性、完整性和可用性均造成高影响，因此被评定为CVSS 7.2分的高危漏洞。值得注意的是，厂商在收到漏洞报告后未做出任何回应，用户需自行采取防护措施。
该漏洞根因在于uapply.cgi脚本的setDeviceURL函数对DeviceURL参数处理不当。攻击者通过HTTP请求向该函数提交精心构造的Payload，Payload中包含操作系统命令（如分号、管道符等特殊字符），这些字符在未经适当转义或过滤的情况下被直接拼接到系统命令中执行。由于漏洞位于路由器的Web管理接口，攻击者需要先获取管理员权限才能访问相关功能。成功利用后，攻击者可以执行任意系统命令，包括读取敏感配置文件（如/etc/shadow）、安装后门程序、修改路由表或进行中间人攻击等。由于路由器通常作为网络边界设备，这一漏洞可能波及其他内网设备的安全。