CVE-2026-23755

Wysokie

Opublikowano: 21/01/2026(UTC)Przetłumaczono: 05/08/2026(UTC)NVD NIST

Streszczenie

D-Link D-View 8 w wersjach 2.0.1.107 i niższych zawiera podatność niekontrolowanej ścieżki wyszukiwania w instalatorze. Przy podniesionych uprawnieniach przez UAC, instalator próbuje załadować version.dll z katalogu wykonania, co pozwala na wstrzyknięcie złośliwej biblioteki DLL i wykonanie kodu z uprawnieniami administratora.

Ocena ryzyka

Ryzyko całkowitego przejęcia systemu, ponieważ atakujący może wykonać dowolny kod z uprawnieniami administratora, co prowadzi do pełnej kompromitacji systemu.

Rekomendacja

Zaleca się aktualizację D-Link D-View 8 do wersji nowszej niż 2.0.1.107 oraz unikanie uruchamiania instalatorów z niezaufanych źródeł.

Inne podatności w D-Link D-View 8

CVE-2026-23754Wysokie
D-Link D-View 8 w wersjach 2.0.1.107 i niższych zawiera podatność nieprawidłowej kontroli dostępu w endpointach API. Każdy uwierzytelniony użytkownik może podać dowolne user_id, aby pobrać wrażliwe dane poświadczeń innych użytkowników, w tym superadministratorów, co umożliwia pełne przejęcie konta.

Oryginalny opis (angielski, źródło NVD)

D-Link D-View 8 versions 2.0.1.107 and below contain an uncontrolled search path vulnerability in the installer. When executed with elevated privileges via UAC, the installer attempts to load version.dll from its execution directory, allowing DLL preloading. An attacker can supply a malicious version.dll alongside the legitimate installer so that, when a victim runs the installer and approves the UAC prompt, attacker-controlled code executes with administrator privileges. This can lead to full system compromise.