CVE-2025-14208
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 89 - wyżej niż 89% wszystkich znanych CVE
Streszczenie
W D-Link DIR-823X do wersji 20250416 wykryto lukę bezpieczeństwa w funkcji sub_415028 pliku /goform/set_wan_settings. Manipulacja argumentem ppp_username prowadzi do wstrzyknięcia poleceń. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
Ocena ryzyka
Zdalny atakujący może wykonać dowolne polecenia na urządzeniu, przejmując nad nim kontrolę i narażając całą sieć.
Rekomendacja
Natychmiast zaktualizuj firmware D-Link DIR-823X do najnowszej wersji lub wyłącz zdalny dostęp do interfejsu zarządzania.
Inne podatności w D-Link DIR-823X
Zobacz wszystkie- CVE-2025-11100Średnie
W urządzeniu D-Link DIR-823X w wersji 250416 wykryto podatność na wstrzykiwanie poleceń w funkcji uci_set pliku /goform/set_wifi_blacklists. Manipulacja prowadzi do zdalnego wykonania poleceń. Exploit jest publicznie dostępny.
- CVE-2025-11099Średnie
W urządzeniu D-Link DIR-823X w wersji 250416 wykryto podatność na wstrzykiwanie poleceń w funkcji uci_del pliku /goform/delete_prohibiting. Manipulacja argumentem delvalue umożliwia zdalne wykonanie poleceń. Exploit został publicznie ujawniony.
- CVE-2025-11098Średnie
W urządzeniu D-Link DIR-823X w wersji 250416 wykryto podatność w nieznanej funkcji pliku /goform/set_wifi_blacklists. Manipulacja argumentem macList prowadzi do wstrzyknięcia poleceń. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2025-11097Średnie
W urządzeniu D-Link DIR-823X w wersji 250416 wykryto podatność na wstrzykiwanie poleceń w pliku /goform/set_device_name. Manipulacja argumentem mac umożliwia zdalne wykonanie poleceń. Exploit został publicznie ujawniony.
- CVE-2025-11096Średnie
W urządzeniu D-Link DIR-823X w wersji 250416 wykryto podatność na wstrzykiwanie poleceń w pliku /goform/diag_traceroute. Manipulacja argumentem target_addr umożliwia zdalne wykonanie poleceń. Exploit został opublikowany.
- CVE-2025-11095Średnie
W urządzeniu D-Link DIR-823X w wersji 250416 wykryto podatność w nieznanym kodzie pliku /goform/delete_offline_device. Manipulacja argumentem delvalue prowadzi do wstrzyknięcia poleceń. Zdalne wykorzystanie jest możliwe, a exploit jest publicznie dostępny.
- CVE-2025-11092Średnie
W urządzeniu D-Link DIR-823X w wersji 250416 wykryto podatność na wstrzykiwanie poleceń w funkcji sub_412E7C pliku /goform/set_switch_settings. Manipulacja argumentem port umożliwia zdalne wykonanie poleceń. Exploit jest publicznie dostępny.
- CVE-2025-10814Średnie
W urządzeniu D-Link DIR-823X (wersje 240126/240802/250416) wykryto lukę w nieznanej funkcjonalności pliku /usr/sbin/goahead. Manipulacja argumentem port prowadzi do wstrzyknięcia poleceń. Atak można zainicjować zdalnie, a exploit został publicznie ujawniony.
- CVE-2025-10634Średnie
Słabość zidentyfikowano w D-Link DIR-823X 240126/240802/250416. Dotkniętym elementem jest funkcja sub_412E7C pliku /usr/sbin/goahead komponentu Environment Variable Handler. Manipulacja argumentem terminal_addr/server_ip/server_port powoduje wstrzyknięcie poleceń. Atak może być zainicjowany zdalnie. Exploit został udostępniony publicznie i może być wykorzystany.
Oryginalny opis (angielski, źródło NVD)
A security flaw has been discovered in D-Link DIR-823X up to 20250416. This affects the function sub_415028 of the file /goform/set_wan_settings. The manipulation of the argument ppp_username results in command injection. It is possible to launch the attack remotely. The exploit has been released to the public and may be exploited.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS