CVE-2026-90703
KrytyczneCVSS 9.1Streszczenie
W D-Link DWR-M921 1.1.52 wykryto podatność w funkcji system w pliku /boafrm/formDiskCreateShare. Manipulacja argumentem folderpath prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony i może być wykorzystany.
Ocena ryzyka
Zdalny atakujący może wykonać dowolne polecenia systemowe na urządzeniu, co może prowadzić do pełnego przejęcia routera i ruchu sieciowego. Publiczna dostępność exploitu zwiększa ryzyko szybkiego wykorzystania.
Rekomendacja
Zaktualizuj firmware D-Link DWR-M921 do wersji zawierającej poprawkę lub wyłącz/wycofaj urządzenie z ekspozycji na sieci niezaufane. Ogranicz dostęp do interfejsu zarządzania i monitoruj nietypowe polecenia w logach.
Inne podatności w D-Link DWR-M921
Zobacz wszystkie- CVE-2026-90706Średnie
W urządzeniu D-Link DWR-M921 w wersji 1.1.52 wykryto podatność w funkcji formWsc w pliku /boafrm/formWsc. Manipulacja argumentem targetAPSsid prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny i może zostać wykorzystany.
- CVE-2026-90705Średnie
W urządzeniu D-Link DWR-M921 w wersji 1.1.52 wykryto podatność dotyczącą funkcji formsysCmd w pliku /boafrm/formsysCmd w komponencie Boa Dispatch Table. Manipulacja argumentem sysCmd prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony i może zostać wykorzystany.
- CVE-2026-90704Średnie
W D-Link DWR-M921 1.1.52 funkcja system w pliku /boafrm/formDiskPartition nieprawidłowo przetwarza argument devicename, co prowadzi do wstrzyknięcia poleceń. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-90702Krytyczne
W D-Link DWR-M921 1.1.52 znaleziono lukę w funkcji system w pliku /boafrm/formDiskFormat. Manipulacja argumentem partition powoduje wstrzyknięcie poleceń systemu operacyjnego. Atak może być zainicjowany zdalnie, a exploit został opublikowany i może być użyty.
Oryginalny opis (angielski, źródło NVD)
A vulnerability has been found in D-Link DWR-M921 1.1.52. The affected element is the function system of the file /boafrm/formDiskCreateShare. Such manipulation of the argument folderpath leads to os command injection. The attack may be launched remotely. The exploit has been disclosed to the public and may be used.