CVE-2025-10440
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 96 - wyżej niż 96% wszystkich znanych CVE
Streszczenie
W urządzeniach D-Link DI-8100, DI-8100G, DI-8200, DI-8200G, DI-8003 i DI-8003G (wersje 16.07.26A1/17.12.20A1/19.12.10A1) w funkcji sub_4621DC pliku usb_paswd.asp komponentu jhttpd występuje wstrzyknięcie poleceń systemu operacyjnego poprzez manipulację argumentem hname. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
Ocena ryzyka
Zdalny atakujący może wykonać dowolne polecenia systemowe na urządzeniu, przejmując nad nim kontrolę. Publiczna dostępność exploitu zwiększa ryzyko.
Rekomendacja
Należy zaktualizować oprogramowanie urządzenia do wersji zawierającej poprawkę producenta lub ograniczyć dostęp do interfejsu zarządzania. Zaleca się odizolowanie urządzeń od niezaufanych sieci.
Inne podatności w jhttpd
Zobacz wszystkie- CVE-2025-10441Średnie
W urządzeniach D-Link DI-8100G, DI-8200G i DI-8003G (wersje 17.12.20A1/19.12.10A1) w funkcji sub_433F7C pliku version_upgrade.asp komponentu jhttpd występuje wstrzyknięcie poleceń systemu operacyjnego poprzez manipulację argumentem path. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2025-9745Średnie
W urządzeniu D-Link DI-500WF 14.04.10A1T w nieznanej funkcji pliku /version_upgrade.asp komponentu jhttpd występuje wstrzyknięcie poleceń systemu operacyjnego poprzez manipulację argumentem path. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
Oryginalny opis (angielski, źródło NVD)
A vulnerability has been found in D-Link DI-8100, DI-8100G, DI-8200, DI-8200G, DI-8003 and DI-8003G 16.07.26A1/17.12.20A1/19.12.10A1. Affected by this vulnerability is the function sub_4621DC of the file usb_paswd.asp of the component jhttpd. The manipulation of the argument hname leads to os command injection. The attack may be initiated remotely. The exploit has been disclosed to the public and may be used.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS