CVE-2025-34253
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 45 - wyżej niż 45% wszystkich znanych CVE
Streszczenie
Firmware D-Link Nuclias Connect w wersjach <= 1.3.1.4 zawiera podatność przechowywanego XSS wynikającą z nieprawidłowej sanityzacji pola 'Network' podczas edycji konfiguracji, tworzenia profilu i dodawania sieci. Uwierzytelniony atakujący może wstrzyknąć dowolny JavaScript wykonywany w kontekście innych użytkowników przeglądających wpis profilu.
Ocena ryzyka
Uwierzytelniony atakujący może wykonać dowolny JavaScript w przeglądarce innych użytkowników panelu administracyjnego, potencjalnie przejmując ich sesje. Ryzyko dotyczy urządzeń D-Link Nuclias Connect z firmware <= 1.3.1.4.
Rekomendacja
Zaktualizuj firmware D-Link Nuclias Connect do wersji 1.3.1.5 lub nowszej. Ogranicz dostęp do panelu administracyjnego do zaufanych sieci.
Inne podatności w D-Link Nuclias Connect
Zobacz wszystkie- CVE-2025-34255Średnie
D-Link Nuclias Connect w wersjach firmware'u <= 1.3.1.4 zawiera podatność polegającą na rozbieżności odpowiedzi. Punkt końcowy 'Forgot Password' zwraca różne odpowiedzi JSON w zależności od tego, czy podany adres e-mail jest powiązany z istniejącym kontem. Ponieważ odpowiedzi różnią się wartością logiczną `data.exist`, nieuwierzytelniony zdalny atakujący może wyliczyć prawidłowe adresy e-mail/konta na serwerze. UWAGA: D-Link podaje, że poprawka jest w opracowaniu.
- CVE-2025-34254Średnie
W oprogramowaniu D-Link Nuclias Connect w wersjach do 1.3.1.4 wykryto podatność polegającą na obserwowalnej różnicy w odpowiedziach. Endpoint 'Login' zwraca różne odpowiedzi JSON w zależności od tego, czy podana nazwa użytkownika istnieje. Nieuwierzytelniony atakujący może zdalnie enumerować prawidłowe nazwy użytkowników.
- CVE-2025-34248Wysokie
Oprogramowanie D-Link Nuclias Connect w wersjach wcześniejszych niż 1.3.1.4 zawiera podatność typu directory traversal w /api/web/dnc/global/database/deleteBackup z powodu niewłaściwego oczyszczania parametru deleteBackupList. Umożliwia to uwierzytelnionemu atakującemu usunięcie dowolnych plików, wpływając na integralność i dostępność systemu.
Oryginalny opis (angielski, źródło NVD)
D-Link Nuclias Connect firmware versions <= 1.3.1.4 contain a stored cross-site scripting (XSS) vulnerability due to improper sanitization of the 'Network' field when editing the configuration, creating a profile, and adding a network. An authenticated attacker can inject arbitrary JavaScript to be executed in the context of other users viewing the profile entry. NOTE: D-Link fixed this issue in version 1.3.1.5.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS