Dahua Intelligent Connection Center 命令注入漏洞可導致遠端執行程式碼

CVE-2025-31704

主要來源公告：2026-10-30

本站刊登：2026-10-30 · 內容更新：2026-10-30（香港日期）

情報摘要

Dahua 發布 CVE-2025-31704 紀錄：Intelligent Connection Center 部分版本可被遠端攻擊者透過特製請求執行任意命令。廠商 CNA 評為 CVSS 3.1 9.8；紀錄未確認野外利用。

Dahua 的 CNA 紀錄將問題分類為作業系統命令注入（CWE-78），稱遠端攻擊者可傳送特製請求，在受影響系統執行任意命令並造成遠端程式碼執行。

紀錄列出兩段受影響版本。V5.000.0000000.15 是第二段範圍的排除上限；僅憑此欄位，不應推斷所有舊分支均可直接升級至該版本。

Dahua Intelligent Connection Center：V1.000.0000000.1 至 1.000.0000005.0（包含上限），以及 V5.000.0000000.6 至 V5.000.0000000.15 之前

使用 Dahua Intelligent Connection Center 的香港維運及保安團隊

盤點產品及實際版本；受影響部署應向 Dahua 或授權供應商核對適用修補及升級路徑。處理前限制管理服務的網絡存取、避免直接暴露互聯網，並檢查異常活動；這些是風險降低建議，不能替代廠商修補。

Dahua 作為 CNA 在 CVE 紀錄給予 CVSS 3.1 9.8（Critical），向量 AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H；不是所有 Dahua 產品的通用評分。

CVE 編號年份是 2025，但此 CNA 紀錄的公開日期為 2026 年 10 月 30 日，不能據此推斷攻擊發生於 2025 年。

已核實的 CNA 紀錄未確認野外利用、受害者或香港影響；未取得完整廠商升級操作及各分支支援說明。

影響範圍限於所列 Intelligent Connection Center 版本，不能擴大為所有 Dahua 攝影機或產品。