Aktywnie wykorzystywana w atakach
D-Link DNS-320 Remote Code Execution Vulnerability
D-Link - DNS-320 Storage Device · Figuruje w katalogu CISA KEV od 2022-04-15. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: The impacted product is end-of-life and should be disconnected if still in use.
CVE-2019-16057
KrytyczneCVSS 9.8KEVStreszczenie
Skrypt login_mgr.cgi w urządzeniach D-Link DNS-320 do wersji 2.05.B10 jest podatny na zdalne wstrzyknięcie poleceń. Atakujący może wykorzystać tę lukę do wykonania dowolnych poleceń w systemie.
Ocena ryzyka
Atakujący może zdalnie wykonać dowolne polecenia na urządzeniu, co prowadzi do pełnego przejęcia kontroli. Może to skutkować kradzieżą danych, modyfikacją konfiguracji lub wykorzystaniem urządzenia do dalszych ataków.
Rekomendacja
Należy zaktualizować oprogramowanie układowe urządzenia D-Link DNS-320 do najnowszej wersji. Jeśli aktualizacja nie jest dostępna, należy ograniczyć dostęp do interfejsu zarządzania lub wyłączyć urządzenie.
Inne podatności w D-Link DNS-320
Zobacz wszystkie- CVE-2020-25506KrytyczneAktywnie exploitowane
Urządzenie D-Link DNS-320 z firmware w wersji 2.06B01 Revision Ax jest podatne na wstrzyknięcie poleceń w komponencie system_mgr.cgi. Luka umożliwia zdalne wykonanie dowolnego kodu.
- CVE-2026-16447Wysokie
W urządzeniu D-Link DNS-320 w wersji 1.0.2 nieznana funkcja w pliku /web/jquery/uploader/multi_uploadify.php jest podatna na nieograniczone przesyłanie plików przez argument Filedata[]. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-16332Wysokie
W D-Link DNS-320 w wersji 1.0.2 wykryto lukę w pliku /mydlink/multi_uploadify.php, gdzie manipulacja argumentem Filedata[] prowadzi do nieograniczonego przesyłania plików. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-16331Wysokie
W urządzeniu D-Link DNS-320 w wersji 1.0.2 nieznana funkcja w pliku /web/function/save_ajax.php jest podatna na nieograniczone przesyłanie plików przez argument Malicious Handler. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-16330Wysokie
W produkcie D-Link DNS-320 w wersji 1.0.2 wykryto podatność polegającą na nieograniczonym przesyłaniu plików w funkcji uploadify.php. Atakujący może zdalnie przesłać dowolny plik, co może prowadzić do przejęcia kontroli nad urządzeniem.
- CVE-2026-16329Wysokie
W D-Link DNS-320 w wersji 1.0.2 stwierdzono podatność w pliku /photo_center/php/uploadify.php, gdzie manipulacja argumentem Malicious Handler prowadzi do nieograniczonego przesyłania plików. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-16327Wysokie
W urządzeniu D-Link DNS-320 w wersji 1.0.2 wykryto podatność polegającą na nieograniczonym przesyłaniu plików. Problem dotyczy pliku /web/web_file/upload.php, gdzie manipulacja argumentem File umożliwia zdalne wgranie dowolnego pliku bez odpowiedniej weryfikacji. Exploit został publicznie ujawniony i może być wykorzystany.
Oryginalny opis (angielski, źródło NVD)
The login_mgr.cgi script in D-Link DNS-320 through 2.05.B10 is vulnerable to remote command injection.