CVE-2026-82691
KrytyczneCVSS 9.1Streszczenie
W urządzeniach D-Link DNS-320L, DNS-327L, DNS-340L i DNS-345 (do wersji 20260717) stwierdzono podatność w nieznanej funkcji pliku /cgi-bin/usb_device.cgi w komponencie CGI Handler. Manipulacja argumentem f_ups_ip prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak może być przeprowadzony zdalnie. Exploit został ujawniony publicznie i może być użyty.
Ocena ryzyka
Atakujący może wykonać dowolne polecenia systemowe na urządzeniu, co może prowadzić do pełnej kompromitacji i naruszenia danych.
Rekomendacja
Zaktualizuj oprogramowanie urządzenia do najnowszej wersji, jeśli dostępna. Ogranicz dostęp do interfejsu CGI z zaufanych sieci.
Powiązane podatności
- CVE-2026-76133Krytyczne
Produkt Ebyte używa przestarzałego algorytmu haszującego w operacji związanej z uwierzytelnianiem. W warunkach, gdy atakujący może manipulować lub przewidzieć wymianę uwierzytelniającą, słaba konstrukcja może zmniejszyć pewność zapewnianą przez mechanizm uwierzytelniania i ułatwić nieautoryzowany dostęp.
- CVE-2026-73819Krytyczne
Narzędzie konfiguracyjne producenta Ebyte umożliwia dostęp do funkcji administracyjnych bez weryfikacji tożsamości operatora w określonych warunkach poświadczeń. Nieuwierzytelniony atakujący z sąsiedniej sieci może modyfikować krytyczne ustawienia lub zmieniać poświadczenia dostępu, potencjalnie uniemożliwiając legalnym administratorom zarządzanie urządzeniem.
- CVE-2026-82970Krytyczne
Wtyczka WP Cookie Notice dla GDPR, CCPA i ePrivacy Consent (część WP Legal Pages) zawiera podatność na nieograniczone przesyłanie plików o niebezpiecznym typie, co pozwala na użycie złośliwych plików. Problem dotyczy wersji od n/a do 4.4.1.
- CVE-2026-59111Krytyczne
Podatność na wstrzykiwanie poleceń systemu operacyjnego w aplikacji eObčanka-Identifikacja (DIA) na systemie MacOS umożliwia atakującemu zarejestrowanie niestandardowego schematu URL (czeeopauth://) do parametryzowanego wykonania aplikacji. Przed wersją 3.6.0 parametry przychodzące z URL były przekazywane do skompilowanego wrappera AppleScript za pomocą konkatenacji bez wystarczającej sanityzacji.
- CVE-2026-82695Krytyczne
W routerze Tenda AC18 (wersja 15.03.05.19) odkryto lukę w nieznanej funkcji pliku /goform/telnet w komponencie Telnet Handler. Manipulacja prowadzi do braku uwierzytelnienia. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być wykorzystany.
- CVE-2026-82694Krytyczne
W routerze Tenda AC1206 (wersja 15.03.06.23) zidentyfikowano podatność w funkcji R7WebsSecurityHandler pliku /goform/ate w komponencie Web UI. Manipulacja prowadzi do braku uwierzytelnienia. Atak może być zainicjowany zdalnie. Exploit jest publicznie dostępny i może być użyty.
- CVE-2026-82693Krytyczne
W routerze Tenda AC1206 (wersja 15.03.06.23) stwierdzono podatność w funkcji TendaTelnet pliku /goform/telnet w komponencie Web UI. Wykonanie manipulacji może prowadzić do braku uwierzytelnienia. Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.
- CVE-2026-82692Krytyczne
W urządzeniach D-Link DNS-340L i DNS-345 (do wersji 20260717) znaleziono podatność w nieznanej części pliku /cgi-bin/iscsi_mgr.cgi. Manipulacja argumentami alias/username/password/volume_location prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak może być przeprowadzony zdalnie. Exploit został upubliczniony i może być użyty.
- CVE-2026-82690Krytyczne
W urządzeniach D-Link DNS-327L i DNS-340L (do wersji 20260717) stwierdzono podatność w nieznanej funkcji pliku /cgi-bin/ve_mgr.cgi. Manipulacja argumentem f_dev powoduje wstrzyknięcie poleceń systemu operacyjnego. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być użyty.
- CVE-2026-82689Krytyczne
Wykryto podatność w urządzeniach D-Link DNS-320L, DNS-327L, DNS-340L i DNS-345 do wersji 20260717. Dotyczy nieznanej funkcji w pliku /cgi-bin/isomount_mgr.cgi komponentu ISO Image Handler. Manipulacja argumentem upIsoRootPath prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak może być wykonany zdalnie, a exploit jest publiczny.
Oryginalny opis (angielski, źródło NVD)
A vulnerability has been found in D-Link DNS-320L, DNS-327L, DNS-340L and DNS-345 up to 20260717. Affected by this issue is some unknown functionality of the file /cgi-bin/usb_device.cgi of the component CGI Handler. Such manipulation of the argument f_ups_ip leads to os command injection. The attack may be performed from remote. The exploit has been disclosed to the public and may be used.