CVE-2026-4207CVE-2026-4207是影响D-Link多款NAS网络存储设备的安全漏洞。该漏洞存在于cgi-bin/system_mgr.cgi文件中的多个功能函数（cgi_device、cgi_sms_test、cgi_firmware_upload、cgi_ntp_time）中。由于对用户输入缺乏有效的安全过滤和验证，攻击者可以通过构造恶意请求，在受影响的设备上注入并执行任意系统命令。此漏洞的CVSS评分为6.3，属于中等严重程度。攻击者只需拥有低权限账户即可发起攻击，无需用户交互。成功利用该漏洞可能导致设备完全沦陷，攻击者可窃取敏感数据、植入后门或将其作为僵尸网络的一部分。由于D-Link NAS设备通常用于企业和个人的关键数据存储，此漏洞对数据安全构成严重威胁。
该命令注入漏洞位于D-Link NAS设备的Web管理接口CGI程序中。具体来说，/cgi-bin/system_mgr.cgi文件中的cgi_device、cgi_sms_test、cgi_firmware_upload和cgi_ntp_time等功能函数存在输入验证不足的问题。攻击者可以通过HTTP请求向这些函数传递包含恶意命令的参数，由于后端CGI程序直接使用系统命令执行相关功能而未对输入进行适当过滤，攻击者注入的命令将被操作系统执行。攻击可通过网络远程发起，攻击者需要拥有设备的低权限账户（如普通用户账号）。利用此漏洞，攻击者可以获取设备的完全控制权，执行任意系统命令、安装恶意软件或窃取存储在NAS设备上的敏感数据。由于设备通常持续运行且暴露在网络中，此漏洞为攻击者提供了稳定的入侵入口。