CVE-2026-10878

ŚrednieCVSS 6.3

Opublikowano: 05/06/2026(UTC)Zaktualizowano: 23/07/2026(UTC)Przetłumaczono: 25/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Wysokie ryzyko

4.24%

Percentyl 90 - wyżej niż 90% wszystkich znanych CVE

Streszczenie

W routerze D-Link DWR-M920 w wersjach 1.1.50 i 1.1.70 wykryto podatność na wstrzykiwanie komend w funkcji sub_41C8E8 pliku /boafrm/formSmsManage. Manipulacja argumentem action_value umożliwia zdalne wykonanie dowolnych poleceń. Exploit jest publicznie dostępny.

Ocena ryzyka

Atakujący może zdalnie przejąć kontrolę nad urządzeniem, co prowadzi do pełnej kompromitacji routera i potencjalnego dostępu do sieci wewnętrznej.

Rekomendacja

Należy natychmiast zaktualizować firmware routera do najnowszej dostępnej wersji lub rozważyć wymianę urządzenia, jeśli producent nie wydał łatki.

Inne podatności w D-Link DWR-M920

CVE-2026-90699Krytyczne
W D-Link DWR-M920 1.1.7 zidentyfikowano słabość w funkcji sub_41E60C w pliku /boafrm/formPinManageSetup. Manipulacja argumentem newPin prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak można zainicjować zdalnie, a exploit został udostępniony publicznie i może być wykorzystany.

Oryginalny opis (angielski, źródło NVD)

A vulnerability was detected in D-Link DWR-M920 1.1.50/1.1.70. Affected is the function sub_41C8E8 of the file /boafrm/formSmsManage. Performing a manipulation of the argument action_value results in command injection. The attack is possible to be carried out remotely. The exploit is now public and may be used.