CVE-2026-16327
WysokieCVSS 7.3Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 50 - wyżej niż 50% wszystkich znanych CVE
Streszczenie
W urządzeniu D-Link DNS-320 w wersji 1.0.2 wykryto podatność polegającą na nieograniczonym przesyłaniu plików. Problem dotyczy pliku /web/web_file/upload.php, gdzie manipulacja argumentem File umożliwia zdalne wgranie dowolnego pliku bez odpowiedniej weryfikacji. Exploit został publicznie ujawniony i może być wykorzystany.
Ocena ryzyka
Atakujący może zdalnie przesłać złośliwy plik (np. webshell) na urządzenie, co prowadzi do pełnej kompromitacji systemu, przejęcia kontroli nad urządzeniem i potencjalnego dostępu do sieci wewnętrznej organizacji.
Rekomendacja
Należy natychmiast wyłączyć dostęp do interfejsu zarządzania urządzeniem z sieci zewnętrznej oraz zastosować reguły firewall blokujące dostęp do pliku /web/web_file/upload.php. Jeśli producent nie wydał łatki, rozważ wymianę urządzenia na model z aktualnym wsparciem.
Inne podatności w D-Link DNS-320
Zobacz wszystkie- CVE-2026-16447Wysokie
W urządzeniu D-Link DNS-320 w wersji 1.0.2 nieznana funkcja w pliku /web/jquery/uploader/multi_uploadify.php jest podatna na nieograniczone przesyłanie plików przez argument Filedata[]. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-16332Wysokie
W D-Link DNS-320 w wersji 1.0.2 wykryto lukę w pliku /mydlink/multi_uploadify.php, gdzie manipulacja argumentem Filedata[] prowadzi do nieograniczonego przesyłania plików. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-16331Wysokie
W urządzeniu D-Link DNS-320 w wersji 1.0.2 nieznana funkcja w pliku /web/function/save_ajax.php jest podatna na nieograniczone przesyłanie plików przez argument Malicious Handler. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-16330Wysokie
W produkcie D-Link DNS-320 w wersji 1.0.2 wykryto podatność polegającą na nieograniczonym przesyłaniu plików w funkcji uploadify.php. Atakujący może zdalnie przesłać dowolny plik, co może prowadzić do przejęcia kontroli nad urządzeniem.
- CVE-2026-16329Wysokie
W D-Link DNS-320 w wersji 1.0.2 stwierdzono podatność w pliku /photo_center/php/uploadify.php, gdzie manipulacja argumentem Malicious Handler prowadzi do nieograniczonego przesyłania plików. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was determined in D-Link DNS-320 1.0.2. This issue affects some unknown processing of the file /web/web_file/upload.php. Executing a manipulation of the argument File can lead to unrestricted upload. The attack can be launched remotely. The exploit has been publicly disclosed and may be utilized.