CVE-2025-34253

ŚrednieCVSS 5.4

Opublikowano: 16/10/2025(UTC)Zaktualizowano: 05/10/2026(UTC)Przetłumaczono: 01/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.54%

Percentyl 43 - wyżej niż 43% wszystkich znanych CVE

Streszczenie

Oprogramowanie sprzętowe D-Link Nuclias Connect w wersjach do 1.3.1.4 zawiera podatność na trwały atak XSS z powodu nieprawidłowego oczyszczania pola 'Network' podczas edycji konfiguracji, tworzenia profilu i dodawania sieci. Uwierzytelniony atakujący może wstrzyknąć dowolny kod JavaScript, który będzie wykonany w kontekście innych użytkowników przeglądających wpis profilu.

Ocena ryzyka

Atakujący może wykraść dane uwierzytelniające, przejąć sesje użytkowników lub wykonać nieautoryzowane działania w kontekście innych administratorów, co zagraża bezpieczeństwu całej infrastruktury sieciowej.

Rekomendacja

Zaleca się monitorowanie informacji o poprawkach od D-Link i wdrożenie ich, gdy tylko będą dostępne, oraz ograniczenie dostępu do panelu administracyjnego tylko dla zaufanych użytkowników.

Inne podatności w D-Link Nuclias Connect

CVE-2025-34255Średnie
D-Link Nuclias Connect w wersjach firmware'u <= 1.3.1.4 zawiera podatność polegającą na rozbieżności odpowiedzi. Punkt końcowy 'Forgot Password' zwraca różne odpowiedzi JSON w zależności od tego, czy podany adres e-mail jest powiązany z istniejącym kontem. Ponieważ odpowiedzi różnią się wartością logiczną `data.exist`, nieuwierzytelniony zdalny atakujący może wyliczyć prawidłowe adresy e-mail/konta na serwerze. UWAGA: D-Link podaje, że poprawka jest w opracowaniu.

Oryginalny opis (angielski, źródło NVD)

D-Link Nuclias Connect firmware versions <= 1.3.1.4 contain a stored cross-site scripting (XSS) vulnerability due to improper sanitization of the 'Network' field when editing the configuration, creating a profile, and adding a network. An authenticated attacker can inject arbitrary JavaScript to be executed in the context of other users viewing the profile entry. NOTE: D-Link states that a fix is under development.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS