CVE-2026-10878
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 90 - wyżej niż 90% wszystkich znanych CVE
Streszczenie
W routerze D-Link DWR-M920 w wersjach 1.1.50 i 1.1.70 wykryto podatność na wstrzykiwanie komend w funkcji sub_41C8E8 pliku /boafrm/formSmsManage. Manipulacja argumentem action_value umożliwia zdalne wykonanie dowolnych poleceń. Exploit jest publicznie dostępny.
Ocena ryzyka
Atakujący może zdalnie przejąć kontrolę nad urządzeniem, co prowadzi do pełnej kompromitacji routera i potencjalnego dostępu do sieci wewnętrznej.
Rekomendacja
Należy natychmiast zaktualizować firmware routera do najnowszej dostępnej wersji lub rozważyć wymianę urządzenia, jeśli producent nie wydał łatki.
Inne podatności w D-Link DWR-M920
Zobacz wszystkie- CVE-2026-90699Krytyczne
W D-Link DWR-M920 1.1.7 zidentyfikowano słabość w funkcji sub_41E60C w pliku /boafrm/formPinManageSetup. Manipulacja argumentem newPin prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak można zainicjować zdalnie, a exploit został udostępniony publicznie i może być wykorzystany.
- CVE-2025-15192Średnie
Wykryto podatność w D-Link DWR-M920 do wersji 1.1.50. Dotyczy ona funkcji sub_415328 w pliku /boafrm/formLtefotaUpgradeQuectel. Manipulacja argumentem fota_url prowadzi do wstrzyknięcia komend. Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.
- CVE-2025-15191Średnie
Słabość zidentyfikowano w D-Link DWR-M920 do wersji 1.1.50. Dotkniętym elementem jest funkcja sub_4155B4 pliku /boafrm/formLtefotaUpgradeFibocom. Manipulacja argumentem fota_url powoduje wstrzyknięcie poleceń. Zdalne wykorzystanie ataku jest możliwe. Exploit został udostępniony publicznie i może być wykorzystany.
- CVE-2025-15193Wysokie
W urządzeniu D-Link DWR-M920 do wersji 1.1.50 stwierdzono podatność na przepełnienie bufora w funkcji sub_423848 w pliku /boafrm/formParentControl. Manipulacja argumentem submit-url prowadzi do przepełnienia bufora. Atak może być przeprowadzony zdalnie, a exploit jest publiczny.
- CVE-2025-15190Wysokie
W urządzeniu D-Link DWR-M920 do wersji 1.1.50 odkryto podatność w funkcji sub_42261C pliku /boafrm/formFilter. Manipulacja argumentem ip6addr prowadzi do przepełnienia bufora na stosie. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
- CVE-2025-15189Wysokie
W urządzeniu D-Link DWR-M920 do wersji 1.1.50 wykryto podatność w funkcji sub_464794 pliku /boafrm/formDefRoute. Manipulacja argumentem submit-url prowadzi do przepełnienia bufora. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2025-13553Wysokie
W urządzeniu D-Link DWR-M920 1.1.50 wykryto słabość w funkcji sub_41C7FC pliku /boafrm/formPinManageSetup. Manipulacja argumentem submit-url powoduje przepełnienie bufora, a atak można przeprowadzić zdalnie. Exploit został publicznie udostępniony i może być wykorzystany.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was detected in D-Link DWR-M920 1.1.50/1.1.70. Affected is the function sub_41C8E8 of the file /boafrm/formSmsManage. Performing a manipulation of the argument action_value results in command injection. The attack is possible to be carried out remotely. The exploit is now public and may be used.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS