CVE-2026-91001
KrytyczneCVSS 9.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 40 - wyżej niż 40% wszystkich znanych CVE
Streszczenie
W D-Link DI-8400 16.07 odkryto lukę w funkcji ddns_asp w pliku /ddns.asp komponentu DDNS Configuration. Manipulacja argumentami serv/user/host/wild/mx/bmx/cust/ip powoduje przepełnienie bufora na stosie. Atak może być zainicjowany zdalnie, a exploit został publicznie udostępniony i może być użyty do ataków.
Ocena ryzyka
Zdalny atakujący może wykorzystać przepełnienie bufora do wykonania kodu lub spowodowania awarii urządzenia. Publiczna dostępność exploitu zwiększa ryzyko.
Rekomendacja
Należy zaktualizować oprogramowanie D-Link DI-8400 do wersji naprawiającej podatność lub ograniczyć dostęp do interfejsu DDNS. Zaleca się monitorowanie nietypowych żądań do /ddns.asp.
Inne podatności w D-Link DI-8400
Zobacz wszystkie- CVE-2026-101081Krytyczne
W D-Link DI-8400 w wersji 16.07 odkryto podatność na przepełnienie bufora oparte na stosie w funkcji menu_nat_more_asp pliku menu_nat_more.asp (komponent Web Administration Service). Manipulacja argumentem opt umożliwia zdalny atak. Exploit jest publiczny.
- CVE-2026-10206Wysokie
W routerze D-Link DI-8400 do wersji 16.07.26A1, w pliku /dbsrv.asp występuje przepełnienie bufora na stosie (stack-based buffer overflow) podczas manipulacji argumentem str. Atak może być przeprowadzony zdalnie. Exploit jest publicznie dostępny. Badacz zgłosił sprzeczne nazwy parametrów.
Oryginalny opis (angielski, źródło NVD)
A security flaw has been discovered in D-Link DI-8400 16.07. This affects the function ddns_asp of the file /ddns.asp of the component DDNS Configuration. Performing a manipulation of the argument serv/user/host/wild/mx/bmx/cust/ip results in stack-based buffer overflow. The attack can be initiated remotely. The exploit has been released to the public and may be used for attacks.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS