CVE-2025-34254
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 62 - wyżej niż 62% wszystkich znanych CVE
Streszczenie
W oprogramowaniu D-Link Nuclias Connect w wersjach do 1.3.1.4 wykryto podatność polegającą na obserwowalnej różnicy w odpowiedziach. Endpoint 'Login' zwraca różne odpowiedzi JSON w zależności od tego, czy podana nazwa użytkownika istnieje. Nieuwierzytelniony atakujący może zdalnie enumerować prawidłowe nazwy użytkowników.
Ocena ryzyka
Atakujący może uzyskać listę prawidłowych kont, co ułatwia ataki brute-force lub phishing.
Rekomendacja
Należy monitorować dostęp do endpointu logowania i rozważyć ograniczenie prób logowania. Producent pracuje nad poprawką.
Inne podatności w D-Link Nuclias Connect
Zobacz wszystkie- CVE-2025-34255Średnie
D-Link Nuclias Connect w wersjach firmware'u <= 1.3.1.4 zawiera podatność polegającą na rozbieżności odpowiedzi. Punkt końcowy 'Forgot Password' zwraca różne odpowiedzi JSON w zależności od tego, czy podany adres e-mail jest powiązany z istniejącym kontem. Ponieważ odpowiedzi różnią się wartością logiczną `data.exist`, nieuwierzytelniony zdalny atakujący może wyliczyć prawidłowe adresy e-mail/konta na serwerze. UWAGA: D-Link podaje, że poprawka jest w opracowaniu.
- CVE-2025-34253Średnie
Oprogramowanie sprzętowe D-Link Nuclias Connect w wersjach do 1.3.1.4 zawiera podatność na trwały atak XSS z powodu nieprawidłowego oczyszczania pola 'Network' podczas edycji konfiguracji, tworzenia profilu i dodawania sieci. Uwierzytelniony atakujący może wstrzyknąć dowolny kod JavaScript, który będzie wykonany w kontekście innych użytkowników przeglądających wpis profilu.
- CVE-2025-34248Wysokie
Oprogramowanie D-Link Nuclias Connect w wersjach wcześniejszych niż 1.3.1.4 zawiera podatność typu directory traversal w /api/web/dnc/global/database/deleteBackup z powodu niewłaściwego oczyszczania parametru deleteBackupList. Umożliwia to uwierzytelnionemu atakującemu usunięcie dowolnych plików, wpływając na integralność i dostępność systemu.
Oryginalny opis (angielski, źródło NVD)
D-Link Nuclias Connect firmware versions <= 1.3.1.4 contain an observable response discrepancy vulnerability. The application's 'Login' endpoint returns distinct JSON responses depending on whether the supplied username is associated with an existing account. Because the responses differ in the `error.message`string value, an unauthenticated remote attacker can enumerate valid usernames/accounts on the server. NOTE: D-Link states that a fix is under development.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS