CVE-2021-41445
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 76 - wyżej niż 76% wszystkich znanych CVE
Streszczenie
W aplikacji internetowej routera D-Link DIR-X1860 przed wersją v1.10WWB09_Beta występuje odbita podatność na atak typu cross-site scripting (XSS). Zdalny, nieuwierzytelniony atakujący może wykonać kod na urządzeniu ofiary, wysyłając jej specjalnie spreparowany URL.
Ocena ryzyka
Ryzyko polega na możliwości przejęcia kontroli nad sesją przeglądarki ofiary, kradzieży danych uwierzytelniających lub wykonania złośliwych działań w kontekście interfejsu zarządzania routerem.
Rekomendacja
Należy niezwłocznie zaktualizować oprogramowanie routera D-Link DIR-X1860 do wersji v1.10WWB09_Beta lub nowszej. Do czasu aktualizacji zaleca się unikanie klikania w podejrzane linki oraz ograniczenie dostępu do interfejsu administracyjnego.
Inne podatności w D-Link DIR-X1860
Zobacz wszystkie- CVE-2026-94036Wysokie
W routerach D-Link DIR-X1860 i DIR-X1860Z do wersji 1.0.2.220120.165402 wykryto podatność w nieznanej funkcji pliku /ubus komponentu routerd. Manipulacja argumentem passwd_set prowadzi do niewłaściwej kontroli dostępu, a atak musi pochodzić z sieci lokalnej. Exploit został publicznie ujawniony i może być wykorzystany.
- CVE-2021-41442Wysokie
Podatność typu HTTP smuggling w aplikacji webowej routera D-Link DIR-X1860 przed wersją v1.10WWB09_Beta umożliwia zdalnemu, nieuwierzytelnionemu atakującemu przeprowadzenie ataku DoS (odmowa usługi) poprzez wysłanie specjalnie spreparowanego pakietu HTTP.
- CVE-2021-41441Wysokie
Podatność typu DoS w aplikacji webowej routera D-Link DIR-X1860 przed wersją v1.10WWB09_Beta umożliwia zdalnemu, nieuwierzytelnionemu atakującemu zrestartowanie routera poprzez wysłanie specjalnie spreparowanego URL do uwierzytelnionej ofiary. Ofiara musi odwiedzić ten URL, aby doszło do restartu.
Oryginalny opis (angielski, źródło NVD)
A reflected cross-site-scripting attack in web application of D-Link DIR-X1860 before v1.10WWB09_Beta allows a remote unauthenticated attacker to execute code in the device of the victim via sending a specific URL to the unauthenticated victim.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS