CVE-2026-5211

WysokieCVSS 8.8

Opublikowano: 31/03/2026(UTC)Zaktualizowano: 24/07/2026(UTC)Przetłumaczono: 25/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.70%

Percentyl 49 - wyżej niż 49% wszystkich znanych CVE

Streszczenie

W wielu modelach urządzeń D-Link (m.in. DNS-120, DNR-202L, DNS-315L) do wersji 20260205 występuje przepełnienie bufora stosu w funkcji UPnP_AV_Server_Path_Del pliku /cgi-bin/app_mgr.cgi. Manipulacja argumentem f_dir umożliwia zdalne wykonanie ataku.

Ocena ryzyka

Zdalny atakujący może wykorzystać tę podatność do przejęcia kontroli nad urządzeniem lub spowodowania jego awarii, co stanowi poważne ryzyko dla bezpieczeństwa sieci.

Rekomendacja

Zaleca się natychmiastową aktualizację oprogramowania urządzeń D-Link do najnowszej dostępnej wersji lub zastosowanie dostępnych łatek bezpieczeństwa.

Inne podatności w D-Link

CVE-2026-5213Wysokie
W wielu modelach urządzeń D-Link (DNS-120, DNR-202L, DNS-315L, DNS-320, DNS-320L, DNS-320LW, DNS-321, DNR-322L, DNS-323, DNS-325, DNS-326, DNS-327L, DNR-326, DNS-340L, DNS-343, DNS-345, DNS-726-4, DNS-1100-4, DNS-1200-05, DNS-1550-04) do wersji 20260205 wykryto podatność na przepełnienie bufora stosu w funkcji cgi_adduser_to_session w pliku /cgi-bin/account_mgr.cgi. Manipulacja argumentem read_list powoduje przepełnienie bufora stosu. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

Oryginalny opis (angielski, źródło NVD)

A flaw has been found in D-Link DNS-120, DNR-202L, DNS-315L, DNS-320, DNS-320L, DNS-320LW, DNS-321, DNR-322L, DNS-323, DNS-325, DNS-326, DNS-327L, DNR-326, DNS-340L, DNS-343, DNS-345, DNS-726-4, DNS-1100-4, DNS-1200-05 and DNS-1550-04 up to 20260205. This vulnerability affects the function UPnP_AV_Server_Path_Del of the file /cgi-bin/app_mgr.cgi. Executing a manipulation of the argument f_dir can lead to stack-based buffer overflow. The attack can be executed remotely. The exploit has been published and may be used.