CVE-2026-16331
WysokieCVSS 7.3Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 75 - wyżej niż 75% wszystkich znanych CVE
Streszczenie
W urządzeniu D-Link DNS-320 w wersji 1.0.2 nieznana funkcja w pliku /web/function/save_ajax.php jest podatna na nieograniczone przesyłanie plików przez argument Malicious Handler. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
Ocena ryzyka
Zdalny atakujący może przesłać złośliwe pliki, co może prowadzić do przejęcia kontroli nad urządzeniem.
Rekomendacja
Skontaktuj się z producentem w celu uzyskania aktualizacji; jeśli nie jest dostępna, rozważ wymianę urządzenia.
Inne podatności w D-Link DNS-320
Zobacz wszystkie- CVE-2026-8273Średnie
W D-Link DNS-320 2.06B01 zidentyfikowano słabość w funkcjach cgi_set_host/cgi_set_ntp/cgi_fan_control/cgi_merge_user w pliku /cgi-bin/system_mgr.cgi. Manipulacja prowadzi do wstrzyknięcia poleceń systemu operacyjnego, a atak można przeprowadzić zdalnie.
- CVE-2026-8272Średnie
W D-Link DNS-320 2.06B01 wykryto lukę w funkcjach delete/rename/copy/move/chmod/chown w pliku /cgi-bin/webfile_mgr.cgi. Manipulacja prowadzi do wstrzyknięcia poleceń systemu operacyjnego, a atak można przeprowadzić zdalnie; exploit został publicznie ujawniony.
- CVE-2026-8271Średnie
W D-Link DNS-320 2.06B01 zidentyfikowano podatność w funkcjach cgi_speed/cgi_dhcpd_lease/cgi_ddns/cgi_set_ip/cgi_upnp_del/cgi_dhcpd/cgi_upnp_add/cgi_upnp_edit w pliku /cgi-bin/network_mgr.cgi. Manipulacja prowadzi do wstrzyknięcia poleceń systemu operacyjnego, a atak można przeprowadzić zdalnie; exploit jest publicznie dostępny.
- CVE-2020-25506KrytyczneAktywnie exploitowane
Urządzenie D-Link DNS-320 z firmware w wersji 2.06B01 Revision Ax jest podatne na wstrzyknięcie poleceń w komponencie system_mgr.cgi. Luka umożliwia zdalne wykonanie dowolnego kodu.
- CVE-2019-16057KrytyczneAktywnie exploitowane
Skrypt login_mgr.cgi w urządzeniach D-Link DNS-320 do wersji 2.05.B10 jest podatny na zdalne wstrzyknięcie poleceń. Atakujący może wykorzystać tę lukę do wykonania dowolnych poleceń w systemie.
- CVE-2026-16447Wysokie
W urządzeniu D-Link DNS-320 w wersji 1.0.2 nieznana funkcja w pliku /web/jquery/uploader/multi_uploadify.php jest podatna na nieograniczone przesyłanie plików przez argument Filedata[]. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-16332Wysokie
W D-Link DNS-320 w wersji 1.0.2 wykryto lukę w pliku /mydlink/multi_uploadify.php, gdzie manipulacja argumentem Filedata[] prowadzi do nieograniczonego przesyłania plików. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-16330Wysokie
W produkcie D-Link DNS-320 w wersji 1.0.2 wykryto podatność polegającą na nieograniczonym przesyłaniu plików w funkcji uploadify.php. Atakujący może zdalnie przesłać dowolny plik, co może prowadzić do przejęcia kontroli nad urządzeniem.
- CVE-2026-16329Wysokie
W D-Link DNS-320 w wersji 1.0.2 stwierdzono podatność w pliku /photo_center/php/uploadify.php, gdzie manipulacja argumentem Malicious Handler prowadzi do nieograniczonego przesyłania plików. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-16327Wysokie
W urządzeniu D-Link DNS-320 w wersji 1.0.2 wykryto podatność polegającą na nieograniczonym przesyłaniu plików. Problem dotyczy pliku /web/web_file/upload.php, gdzie manipulacja argumentem File umożliwia zdalne wgranie dowolnego pliku bez odpowiedniej weryfikacji. Exploit został publicznie ujawniony i może być wykorzystany.
Oryginalny opis (angielski, źródło NVD)
A security vulnerability has been detected in D-Link DNS-320 1.0.2. This affects an unknown function of the file /web/function/save_ajax.php. Such manipulation of the argument Malicious Handler leads to unrestricted upload. The attack can be executed remotely. The exploit has been disclosed publicly and may be used.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS