CVE-2026-91001

KrytyczneCVSS 9.9

Opublikowano: 15/09/2026(UTC)Przetłumaczono: 15/09/2026(UTC)NVD NIST

Streszczenie

W D-Link DI-8400 16.07 odkryto lukę w funkcji ddns_asp w pliku /ddns.asp komponentu DDNS Configuration. Manipulacja argumentami serv/user/host/wild/mx/bmx/cust/ip powoduje przepełnienie bufora na stosie. Atak może być zainicjowany zdalnie, a exploit został publicznie udostępniony i może być użyty do ataków.

Ocena ryzyka

Zdalny atakujący może wykorzystać przepełnienie bufora do wykonania kodu lub spowodowania awarii urządzenia. Publiczna dostępność exploitu zwiększa ryzyko.

Rekomendacja

Należy zaktualizować oprogramowanie D-Link DI-8400 do wersji naprawiającej podatność lub ograniczyć dostęp do interfejsu DDNS. Zaleca się monitorowanie nietypowych żądań do /ddns.asp.

Inne podatności w D-Link DI-8400

CVE-2026-10206Wysokie
W routerze D-Link DI-8400 do wersji 16.07.26A1, w pliku /dbsrv.asp występuje przepełnienie bufora na stosie (stack-based buffer overflow) podczas manipulacji argumentem str. Atak może być przeprowadzony zdalnie. Exploit jest publicznie dostępny. Badacz zgłosił sprzeczne nazwy parametrów.

Oryginalny opis (angielski, źródło NVD)

A security flaw has been discovered in D-Link DI-8400 16.07. This affects the function ddns_asp of the file /ddns.asp of the component DDNS Configuration. Performing a manipulation of the argument serv/user/host/wild/mx/bmx/cust/ip results in stack-based buffer overflow. The attack can be initiated remotely. The exploit has been released to the public and may be used for attacks.