CVE-2026-5213

WysokieCVSS 8.8

Opublikowano: 31/03/2026(UTC)Zaktualizowano: 24/07/2026(UTC)Przetłumaczono: 25/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.72%

Percentyl 50 - wyżej niż 50% wszystkich znanych CVE

Streszczenie

W wielu modelach urządzeń D-Link (DNS-120, DNR-202L, DNS-315L, DNS-320, DNS-320L, DNS-320LW, DNS-321, DNR-322L, DNS-323, DNS-325, DNS-326, DNS-327L, DNR-326, DNS-340L, DNS-343, DNS-345, DNS-726-4, DNS-1100-4, DNS-1200-05, DNS-1550-04) do wersji 20260205 wykryto podatność na przepełnienie bufora stosu w funkcji cgi_adduser_to_session w pliku /cgi-bin/account_mgr.cgi. Manipulacja argumentem read_list powoduje przepełnienie bufora stosu. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

Ocena ryzyka

Zdalny atakujący może wykorzystać tę podatność do wykonania dowolnego kodu na urządzeniu, co może prowadzić do przejęcia kontroli nad urządzeniem sieciowym, przechwycenia ruchu lub dalszych ataków w sieci.

Rekomendacja

Należy skontaktować się z producentem w celu uzyskania aktualizacji oprogramowania układowego (firmware) lub rozważyć wymianę urządzenia na model z wsparciem producenta.

Inne podatności w D-Link

CVE-2026-5211Wysokie
W wielu modelach urządzeń D-Link (m.in. DNS-120, DNR-202L, DNS-315L) do wersji 20260205 występuje przepełnienie bufora stosu w funkcji UPnP_AV_Server_Path_Del pliku /cgi-bin/app_mgr.cgi. Manipulacja argumentem f_dir umożliwia zdalne wykonanie ataku.

Oryginalny opis (angielski, źródło NVD)

A vulnerability was determined in D-Link DNS-120, DNR-202L, DNS-315L, DNS-320, DNS-320L, DNS-320LW, DNS-321, DNR-322L, DNS-323, DNS-325, DNS-326, DNS-327L, DNR-326, DNS-340L, DNS-343, DNS-345, DNS-726-4, DNS-1100-4, DNS-1200-05 and DNS-1550-04 up to 20260205. The affected element is the function cgi_adduser_to_session of the file /cgi-bin/account_mgr.cgi. This manipulation of the argument read_list causes stack-based buffer overflow. It is possible to initiate the attack remotely. The exploit has been publicly disclosed and may be utilized.