CVE-2025-10441
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 96 - wyżej niż 96% wszystkich znanych CVE
Streszczenie
W urządzeniach D-Link DI-8100G, DI-8200G i DI-8003G (wersje 17.12.20A1/19.12.10A1) w funkcji sub_433F7C pliku version_upgrade.asp komponentu jhttpd występuje wstrzyknięcie poleceń systemu operacyjnego poprzez manipulację argumentem path. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
Ocena ryzyka
Zdalny atakujący może wykonać dowolne polecenia systemowe na urządzeniu, przejmując nad nim kontrolę. Publiczna dostępność exploitu zwiększa ryzyko.
Rekomendacja
Należy zaktualizować oprogramowanie urządzenia do wersji zawierającej poprawkę producenta lub ograniczyć dostęp do interfejsu zarządzania. Zaleca się odizolowanie urządzeń od niezaufanych sieci.
Inne podatności w jhttpd
Zobacz wszystkie- CVE-2025-10440Średnie
W urządzeniach D-Link DI-8100, DI-8100G, DI-8200, DI-8200G, DI-8003 i DI-8003G (wersje 16.07.26A1/17.12.20A1/19.12.10A1) w funkcji sub_4621DC pliku usb_paswd.asp komponentu jhttpd występuje wstrzyknięcie poleceń systemu operacyjnego poprzez manipulację argumentem hname. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2025-9745Średnie
W urządzeniu D-Link DI-500WF 14.04.10A1T w nieznanej funkcji pliku /version_upgrade.asp komponentu jhttpd występuje wstrzyknięcie poleceń systemu operacyjnego poprzez manipulację argumentem path. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was found in D-Link DI-8100G, DI-8200G and DI-8003G 17.12.20A1/19.12.10A1. Affected by this issue is the function sub_433F7C of the file version_upgrade.asp of the component jhttpd. The manipulation of the argument path results in os command injection. The attack may be launched remotely. The exploit has been made public and could be used.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS