CVE-2026-90699

KrytyczneCVSS 9.9

Opublikowano: 14/09/2026(UTC)Zaktualizowano: 14/09/2026(UTC)Przetłumaczono: 14/09/2026(UTC)NVD NIST

Streszczenie

W D-Link DWR-M920 1.1.7 zidentyfikowano słabość w funkcji sub_41E60C w pliku /boafrm/formPinManageSetup. Manipulacja argumentem newPin prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak można zainicjować zdalnie, a exploit został udostępniony publicznie i może być wykorzystany.

Ocena ryzyka

Zdalny atakujący może wykonać dowolne polecenia systemowe na urządzeniu, co może prowadzić do pełnego przejęcia routera i ruchu sieciowego. Publiczna dostępność exploitu zwiększa ryzyko szybkiego wykorzystania.

Rekomendacja

Zaktualizuj firmware D-Link DWR-M920 do wersji zawierającej poprawkę lub wyłącz/wycofaj urządzenie z ekspozycji na sieci niezaufane. Ogranicz dostęp do interfejsu zarządzania i monitoruj nietypowe polecenia w logach.

Inne podatności w D-Link DWR-M920

CVE-2026-10878Średnie
W routerze D-Link DWR-M920 w wersjach 1.1.50 i 1.1.70 wykryto podatność na wstrzykiwanie komend w funkcji sub_41C8E8 pliku /boafrm/formSmsManage. Manipulacja argumentem action_value umożliwia zdalne wykonanie dowolnych poleceń. Exploit jest publicznie dostępny.

Oryginalny opis (angielski, źródło NVD)

A weakness has been identified in D-Link DWR-M920 1.1.7. This issue affects the function sub_41E60C of the file /boafrm/formPinManageSetup. This manipulation of the argument newPin causes os command injection. The attack can be initiated remotely. The exploit has been made available to the public and could be used for attacks.