CVE-2026-23754

Wysokie

Opublikowano: 21/01/2026(UTC)Przetłumaczono: 05/08/2026(UTC)NVD NIST

Streszczenie

D-Link D-View 8 w wersjach 2.0.1.107 i niższych zawiera podatność nieprawidłowej kontroli dostępu w endpointach API. Każdy uwierzytelniony użytkownik może podać dowolne user_id, aby pobrać wrażliwe dane poświadczeń innych użytkowników, w tym superadministratorów, co umożliwia pełne przejęcie konta.

Ocena ryzyka

Ryzyko całkowitego przejęcia konta i uzyskania pełnej kontroli administracyjnej nad systemem D-View, co może prowadzić do naruszenia integralności i poufności danych.

Rekomendacja

Zaleca się aktualizację D-Link D-View 8 do wersji nowszej niż 2.0.1.107 oraz wdrożenie odpowiednich mechanizmów autoryzacji.

Inne podatności w D-Link D-View 8

CVE-2026-23755Wysokie
D-Link D-View 8 w wersjach 2.0.1.107 i niższych zawiera podatność niekontrolowanej ścieżki wyszukiwania w instalatorze. Przy podniesionych uprawnieniach przez UAC, instalator próbuje załadować version.dll z katalogu wykonania, co pozwala na wstrzyknięcie złośliwej biblioteki DLL i wykonanie kodu z uprawnieniami administratora.

Oryginalny opis (angielski, źródło NVD)

D-Link D-View 8 versions 2.0.1.107 and below contain an improper access control vulnerability in backend API endpoints. Any authenticated user can supply an arbitrary user_id value to retrieve sensitive credential data belonging to other users, including super administrators. The exposed credential material can be reused directly as a valid authentication secret, allowing full impersonation of the targeted account. This results in complete account takeover and full administrative control over the D-View system.