CVE-2026-8273
ŚrednieCVSS 4.7Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 94 - wyżej niż 94% wszystkich znanych CVE
Streszczenie
W D-Link DNS-320 2.06B01 zidentyfikowano słabość w funkcjach cgi_set_host/cgi_set_ntp/cgi_fan_control/cgi_merge_user w pliku /cgi-bin/system_mgr.cgi. Manipulacja prowadzi do wstrzyknięcia poleceń systemu operacyjnego, a atak można przeprowadzić zdalnie.
Ocena ryzyka
Może to umożliwić zdalnemu atakującemu wykonanie dowolnych poleceń na urządzeniu.
Rekomendacja
Ogranicz dostęp do interfejsu zarządzania i rozważ aktualizację lub wymianę urządzenia, jeśli poprawka nie jest dostępna.
Inne podatności w D-Link DNS-320
Zobacz wszystkie- CVE-2026-8272Średnie
W D-Link DNS-320 2.06B01 wykryto lukę w funkcjach delete/rename/copy/move/chmod/chown w pliku /cgi-bin/webfile_mgr.cgi. Manipulacja prowadzi do wstrzyknięcia poleceń systemu operacyjnego, a atak można przeprowadzić zdalnie; exploit został publicznie ujawniony.
- CVE-2026-8271Średnie
W D-Link DNS-320 2.06B01 zidentyfikowano podatność w funkcjach cgi_speed/cgi_dhcpd_lease/cgi_ddns/cgi_set_ip/cgi_upnp_del/cgi_dhcpd/cgi_upnp_add/cgi_upnp_edit w pliku /cgi-bin/network_mgr.cgi. Manipulacja prowadzi do wstrzyknięcia poleceń systemu operacyjnego, a atak można przeprowadzić zdalnie; exploit jest publicznie dostępny.
- CVE-2020-25506KrytyczneAktywnie exploitowane
Urządzenie D-Link DNS-320 z firmware w wersji 2.06B01 Revision Ax jest podatne na wstrzyknięcie poleceń w komponencie system_mgr.cgi. Luka umożliwia zdalne wykonanie dowolnego kodu.
- CVE-2019-16057KrytyczneAktywnie exploitowane
Skrypt login_mgr.cgi w urządzeniach D-Link DNS-320 do wersji 2.05.B10 jest podatny na zdalne wstrzyknięcie poleceń. Atakujący może wykorzystać tę lukę do wykonania dowolnych poleceń w systemie.
- CVE-2026-16447Wysokie
W urządzeniu D-Link DNS-320 w wersji 1.0.2 nieznana funkcja w pliku /web/jquery/uploader/multi_uploadify.php jest podatna na nieograniczone przesyłanie plików przez argument Filedata[]. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-16332Wysokie
W D-Link DNS-320 w wersji 1.0.2 wykryto lukę w pliku /mydlink/multi_uploadify.php, gdzie manipulacja argumentem Filedata[] prowadzi do nieograniczonego przesyłania plików. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-16331Wysokie
W urządzeniu D-Link DNS-320 w wersji 1.0.2 nieznana funkcja w pliku /web/function/save_ajax.php jest podatna na nieograniczone przesyłanie plików przez argument Malicious Handler. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-16330Wysokie
W produkcie D-Link DNS-320 w wersji 1.0.2 wykryto podatność polegającą na nieograniczonym przesyłaniu plików w funkcji uploadify.php. Atakujący może zdalnie przesłać dowolny plik, co może prowadzić do przejęcia kontroli nad urządzeniem.
- CVE-2026-16329Wysokie
W D-Link DNS-320 w wersji 1.0.2 stwierdzono podatność w pliku /photo_center/php/uploadify.php, gdzie manipulacja argumentem Malicious Handler prowadzi do nieograniczonego przesyłania plików. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-16327Wysokie
W urządzeniu D-Link DNS-320 w wersji 1.0.2 wykryto podatność polegającą na nieograniczonym przesyłaniu plików. Problem dotyczy pliku /web/web_file/upload.php, gdzie manipulacja argumentem File umożliwia zdalne wgranie dowolnego pliku bez odpowiedniej weryfikacji. Exploit został publicznie ujawniony i może być wykorzystany.
Oryginalny opis (angielski, źródło NVD)
A weakness has been identified in D-Link DNS-320 2.06B01. This impacts the function cgi_set_host/cgi_set_ntp/cgi_fan_control/cgi_merge_user of the file /cgi-bin/system_mgr.cgi. This manipulation causes os command injection. It is possible to initiate the attack remotely.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS