CVE-2025-9745
ŚrednieCVSS 4.7Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 96 - wyżej niż 96% wszystkich znanych CVE
Streszczenie
W urządzeniu D-Link DI-500WF 14.04.10A1T w nieznanej funkcji pliku /version_upgrade.asp komponentu jhttpd występuje wstrzyknięcie poleceń systemu operacyjnego poprzez manipulację argumentem path. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
Ocena ryzyka
Zdalny atakujący może wykonać dowolne polecenia systemowe na urządzeniu, przejmując nad nim kontrolę. Publiczna dostępność exploitu zwiększa ryzyko.
Rekomendacja
Należy zaktualizować oprogramowanie urządzenia do wersji zawierającej poprawkę producenta lub ograniczyć dostęp do interfejsu zarządzania. Zaleca się odizolowanie urządzeń od niezaufanych sieci.
Inne podatności w jhttpd
Zobacz wszystkie- CVE-2025-10441Średnie
W urządzeniach D-Link DI-8100G, DI-8200G i DI-8003G (wersje 17.12.20A1/19.12.10A1) w funkcji sub_433F7C pliku version_upgrade.asp komponentu jhttpd występuje wstrzyknięcie poleceń systemu operacyjnego poprzez manipulację argumentem path. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2025-10440Średnie
W urządzeniach D-Link DI-8100, DI-8100G, DI-8200, DI-8200G, DI-8003 i DI-8003G (wersje 16.07.26A1/17.12.20A1/19.12.10A1) w funkcji sub_4621DC pliku usb_paswd.asp komponentu jhttpd występuje wstrzyknięcie poleceń systemu operacyjnego poprzez manipulację argumentem hname. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
Oryginalny opis (angielski, źródło NVD)
A security vulnerability has been detected in D-Link DI-500WF 14.04.10A1T. The impacted element is an unknown function of the file /version_upgrade.asp of the component jhttpd. The manipulation of the argument path leads to os command injection. The attack may be initiated remotely. The exploit has been disclosed publicly and may be used.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS