CVE-2025-15192
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 91 - wyżej niż 91% wszystkich znanych CVE
Streszczenie
Wykryto podatność w D-Link DWR-M920 do wersji 1.1.50. Dotyczy ona funkcji sub_415328 w pliku /boafrm/formLtefotaUpgradeQuectel. Manipulacja argumentem fota_url prowadzi do wstrzyknięcia komend. Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.
Ocena ryzyka
Ryzyko obejmuje możliwość zdalnego wykonania dowolnych komend na routerze, co może prowadzić do pełnej kompromitacji urządzenia i przejęcia kontroli nad siecią.
Rekomendacja
Zaleca się natychmiastową aktualizację oprogramowania D-Link DWR-M920 do najnowszej wersji oraz ograniczenie dostępu do interfejsu zarządzania.
Inne podatności w D-Link DWR-M920
Zobacz wszystkie- CVE-2026-90699Krytyczne
W D-Link DWR-M920 1.1.7 zidentyfikowano słabość w funkcji sub_41E60C w pliku /boafrm/formPinManageSetup. Manipulacja argumentem newPin prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak można zainicjować zdalnie, a exploit został udostępniony publicznie i może być wykorzystany.
- CVE-2025-15191Średnie
Słabość zidentyfikowano w D-Link DWR-M920 do wersji 1.1.50. Dotkniętym elementem jest funkcja sub_4155B4 pliku /boafrm/formLtefotaUpgradeFibocom. Manipulacja argumentem fota_url powoduje wstrzyknięcie poleceń. Zdalne wykorzystanie ataku jest możliwe. Exploit został udostępniony publicznie i może być wykorzystany.
- CVE-2026-10878Średnie
W routerze D-Link DWR-M920 w wersjach 1.1.50 i 1.1.70 wykryto podatność na wstrzykiwanie komend w funkcji sub_41C8E8 pliku /boafrm/formSmsManage. Manipulacja argumentem action_value umożliwia zdalne wykonanie dowolnych poleceń. Exploit jest publicznie dostępny.
- CVE-2025-15193Wysokie
W urządzeniu D-Link DWR-M920 do wersji 1.1.50 stwierdzono podatność na przepełnienie bufora w funkcji sub_423848 w pliku /boafrm/formParentControl. Manipulacja argumentem submit-url prowadzi do przepełnienia bufora. Atak może być przeprowadzony zdalnie, a exploit jest publiczny.
- CVE-2025-15190Wysokie
W urządzeniu D-Link DWR-M920 do wersji 1.1.50 odkryto podatność w funkcji sub_42261C pliku /boafrm/formFilter. Manipulacja argumentem ip6addr prowadzi do przepełnienia bufora na stosie. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
- CVE-2025-15189Wysokie
W urządzeniu D-Link DWR-M920 do wersji 1.1.50 wykryto podatność w funkcji sub_464794 pliku /boafrm/formDefRoute. Manipulacja argumentem submit-url prowadzi do przepełnienia bufora. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
A security vulnerability has been detected in D-Link DWR-M920 up to 1.1.50. The impacted element is the function sub_415328 of the file /boafrm/formLtefotaUpgradeQuectel. Such manipulation of the argument fota_url leads to command injection. The attack can be executed remotely. The exploit has been disclosed publicly and may be used.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS