CVE-2025-60676
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 87 - wyżej niż 87% wszystkich znanych CVE
Streszczenie
W oprogramowaniu sprzętowym FW101B04.bin routera D-Link DIR-878A1 wykryto podatność na zdalne wstrzykiwanie komend. Brak uwierzytelnienia w funkcji SetNetworkSettings w prog.cgi powoduje, że parametry IPAddress i SubnetMask są bezpośrednio łączone z komendami powłoki wykonywanymi przez system().
Ocena ryzyka
Atakujący może zdalnie, bez uwierzytelnienia, wykonać dowolne komendy na urządzeniu, co prowadzi do pełnego przejęcia kontroli nad routerem i potencjalnego naruszenia bezpieczeństwa sieci.
Rekomendacja
Należy natychmiast zaktualizować oprogramowanie sprzętowe routera do najnowszej wersji, jeśli producent udostępnił łatkę. W międzyczasie zaleca się ograniczenie dostępu do interfejsu zarządzania tylko z zaufanych sieci.
Oryginalny opis (angielski, źródło NVD)
An unauthenticated command injection vulnerability exists in the D-Link DIR-878A1 router firmware FW101B04.bin. The vulnerability occurs in the 'SetNetworkSettings' functionality of prog.cgi, where the 'IPAddress' and 'SubnetMask' parameters are directly concatenated into shell commands executed via system(). An attacker can exploit this vulnerability remotely without authentication by sending a specially crafted HTTP request, leading to arbitrary command execution on the device.