CVE-2026-90703
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 86 - wyżej niż 86% wszystkich znanych CVE
Streszczenie
W D-Link DWR-M921 1.1.52 wykryto podatność w funkcji system w pliku /boafrm/formDiskCreateShare. Manipulacja argumentem folderpath prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony i może być wykorzystany.
Ocena ryzyka
Zdalny atakujący może wykonać dowolne polecenia systemowe na urządzeniu, co może prowadzić do pełnego przejęcia routera i ruchu sieciowego. Publiczna dostępność exploitu zwiększa ryzyko szybkiego wykorzystania.
Rekomendacja
Zaktualizuj firmware D-Link DWR-M921 do wersji zawierającej poprawkę lub wyłącz/wycofaj urządzenie z ekspozycji na sieci niezaufane. Ogranicz dostęp do interfejsu zarządzania i monitoruj nietypowe polecenia w logach.
Inne podatności w D-Link DWR-M921
Zobacz wszystkie- CVE-2026-90702Krytyczne
W D-Link DWR-M921 1.1.52 znaleziono lukę w funkcji system w pliku /boafrm/formDiskFormat. Manipulacja argumentem partition powoduje wstrzyknięcie poleceń systemu operacyjnego. Atak może być zainicjowany zdalnie, a exploit został opublikowany i może być użyty.
- CVE-2026-90706Średnie
W urządzeniu D-Link DWR-M921 w wersji 1.1.52 wykryto podatność w funkcji formWsc w pliku /boafrm/formWsc. Manipulacja argumentem targetAPSsid prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny i może zostać wykorzystany.
- CVE-2026-90705Średnie
W urządzeniu D-Link DWR-M921 w wersji 1.1.52 wykryto podatność dotyczącą funkcji formsysCmd w pliku /boafrm/formsysCmd w komponencie Boa Dispatch Table. Manipulacja argumentem sysCmd prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony i może zostać wykorzystany.
- CVE-2026-90704Średnie
W D-Link DWR-M921 1.1.52 funkcja system w pliku /boafrm/formDiskPartition nieprawidłowo przetwarza argument devicename, co prowadzi do wstrzyknięcia poleceń. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
Oryginalny opis (angielski, źródło NVD)
A vulnerability has been found in D-Link DWR-M921 1.1.52. The affected element is the function system of the file /boafrm/formDiskCreateShare. Such manipulation of the argument folderpath leads to os command injection. The attack may be launched remotely. The exploit has been disclosed to the public and may be used.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS