CVE-2026-71944
KrytyczneCVSS 9.8Streszczenie
Urządzenia D-Link DWR-M961 (wersja sprzętowa C1, firmware przed 1.1.5_C1_202607071108) zawierają podatność na wstrzykiwanie komend w interfejsie /boafrm/formLtefotaUpgradeQuectel. Zdalny atakujący może wstrzyknąć dowolne złośliwe komendy w pole fota_url, co prowadzi do wykonania komend z uprawnieniami roota.
Ocena ryzyka
Ryzyko dla organizacji to pełne przejęcie kontroli nad urządzeniem przez zdalnego atakującego, co może prowadzić do naruszenia integralności sieci i dostępu do poufnych danych.
Rekomendacja
Zaleca się natychmiastowe zaktualizowanie firmware urządzeń D-Link DWR-M961 do wersji 1.1.5_C1_202607071108 lub nowszej oraz ograniczenie dostępu do interfejsu zarządzania tylko do zaufanych sieci.
Oryginalny opis (angielski, źródło NVD)
D-Link DWR-M961 devices with hardware version C1 and firmware version before 1.1.5_C1_202607071108 contain a command injection vulnerability in the /boafrm/formLtefotaUpgradeQuectel interface. A remote attacker can inject arbitrary malicious commands into the fota_url field, resulting in command execution with root privileges.