CVE-2025-15191
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 90 - wyżej niż 90% wszystkich znanych CVE
Streszczenie
Słabość zidentyfikowano w D-Link DWR-M920 do wersji 1.1.50. Dotkniętym elementem jest funkcja sub_4155B4 pliku /boafrm/formLtefotaUpgradeFibocom. Manipulacja argumentem fota_url powoduje wstrzyknięcie poleceń. Zdalne wykorzystanie ataku jest możliwe. Exploit został udostępniony publicznie i może być wykorzystany.
Ocena ryzyka
Atakujący może zdalnie wykonać dowolne polecenia na routerze, co może prowadzić do przejęcia kontroli nad urządzeniem i siecią.
Rekomendacja
Zastosuj aktualizacje oprogramowania od producenta lub ogranicz dostęp do urządzenia z zaufanych sieci.
Inne podatności w D-Link DWR-M920
Zobacz wszystkie- CVE-2026-90699Krytyczne
W D-Link DWR-M920 1.1.7 zidentyfikowano słabość w funkcji sub_41E60C w pliku /boafrm/formPinManageSetup. Manipulacja argumentem newPin prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak można zainicjować zdalnie, a exploit został udostępniony publicznie i może być wykorzystany.
- CVE-2026-10878Średnie
W routerze D-Link DWR-M920 w wersjach 1.1.50 i 1.1.70 wykryto podatność na wstrzykiwanie komend w funkcji sub_41C8E8 pliku /boafrm/formSmsManage. Manipulacja argumentem action_value umożliwia zdalne wykonanie dowolnych poleceń. Exploit jest publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
A weakness has been identified in D-Link DWR-M920 up to 1.1.50. The affected element is the function sub_4155B4 of the file /boafrm/formLtefotaUpgradeFibocom. This manipulation of the argument fota_url causes command injection. Remote exploitation of the attack is possible. The exploit has been made available to the public and could be exploited.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS