CVE-2025-11407: Injeção de comando de SO no upgrade_filter.asp do D-Link DI-7001 MINI

Visão geral

A CVE-2025-11407 é uma fraqueza de injeção de comando de sistema operacional (CWE-78) que afeta o arquivo /upgrade_filter.asp do D-Link DI-7001 MINI 24.04.18B1. Segundo o registro, o argumento manipulado é o path e a falha pode ser iniciada remotamente. O registro foi publicado em 07/10/2025 e o CNA responsável é a VulDB.

Impacto

A NVD classifica o problema como crítico, com pontuação base CVSS 3.1 de 9,8, refletindo vetor de ataque pela rede, ausência de privilégios e de interação do usuário, além de alto impacto na confidencialidade, integridade e disponibilidade.
Outras pontuações do registro, incluindo as da VulDB em CVSS 3.1, são menores, por isso a severidade depende da fonte da avaliação.
Os dados SSVC do registro indicam impacto técnico parcial e automação não.

A injeção de comando de sistema operacional geralmente permite que um agente execute comandos do sistema no equipamento quando entradas não confiáveis chegam a um shell. As consequências reais dependem de como o equipamento trata essa entrada, o que o registro não descreve.

Produtos e versões afetadas

D-Link DI-7001 MINI, versão 24.04.18B1.
Uma segunda entrada do registro lista Dlink Di-7001mini-8g Firmware com a mesma versão escrita em minúsculas.

O registro não informa nenhuma versão corrigida.

Situação de exploração

A CVE-2025-11407 não consta no catálogo KEV da CISA, portanto esta análise não afirma que ela é explorada ativamente. O registro informa que o exploit foi disponibilizado ao público e referencia uma issue no GitHub marcada como relacionada a exploit. A exploração SSVC está registrada como poc. Nas fontes consultadas não há exploração confirmada.

Correção e mitigação

Não há versão corrigida registrada. Consulte o site do fabricante D-Link para atualizações de firmware ou avisos de segurança deste modelo.
Enquanto a correção não for verificada, restrinja o acesso às interfaces web e de gerenciamento a redes confiáveis e desative a administração remota quando ela não for necessária.
Posicione o equipamento atrás de controles de rede que limitem quais hosts podem acessar a interface web.
Faça o inventário de todas as unidades DI-7001 MINI, incluindo as variantes de firmware citadas, e priorize as acessíveis a partir de redes não confiáveis.
Acompanhe atualizações na entrada da VulDB.

Orientações de detecção

Revise os logs do servidor web e do equipamento em busca de requisições incomuns para upgrade_filter.asp, especialmente com caracteres inesperados no parâmetro path.
Monitore conexões de saída inesperadas ou novos processos no equipamento, quando houver registro disponível.
Gere alertas para acessos à interface administrativa a partir de origens desconhecidas.

São indicadores de alto nível e não substituem a orientação do fabricante.

Limitações das informações disponíveis

O registro marca a função afetada como desconhecida, portanto o comportamento exato de upgrade_filter.asp não é descrito.
Não há versão corrigida, aviso do fabricante ou status de patch registrados.
O registro contém uma data de EPSS de 2026-10-13, posterior à data de publicação, que deve ser verificada na fonte.
As pontuações variam entre provedores e versões do CVSS, e o registro não explica essas diferenças.
Esta análise não inclui detalhes de prova de conceito.

Perguntas frequentes

A CVE-2025-11407 é explorada ativamente?

A CVE não consta no catálogo KEV da CISA, por isso esta análise não afirma exploração ativa. O registro informa que existe exploit público e o SSVC indica exploração poc, mas nas fontes consultadas não há exploração confirmada.

Qual é a severidade da CVE-2025-11407?

A NVD atribui pontuação base CVSS 3.1 de 9,8 (crítica). Outros provedores do registro apresentam valores menores, então a severidade depende da fonte.

Quais versões são afetadas e existe correção?

O registro lista o D-Link DI-7001 MINI na versão 24.04.18B1 e uma entrada de firmware com a mesma versão. Não há versão corrigida registrada, então recomenda-se consultar o fabricante por atualizações.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.