PT-2026-83779 · D Link · Dns-345+1
CVSS v3.1
9.1
Crítica
| Vetor | AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H |
Nome do Software Vulnerável e Versões Afetadas
D-Link DNS-340L versão 1.01B04
D-Link DNS-340L versão 1.03B06
D-Link DNS-340L versão 1.04.B02
D-Link DNS-340L versão 1.05b04
D-Link DNS-345 versão 1.01B04
D-Link DNS-345 versão 1.03B06
D-Link DNS-345 versão 1.04.B02
D-Link DNS-345 versão 1.05b04
Description
Uma falha de injeção de comando de SO existe no componente Virtual Volume Handler. O problema ocorre quando o endpoint
/cgi-bin/virtual vol.cgi não sanitiza adequadamente os argumentos f sharename, f target e f name, permitindo que um invasor remoto execute comandos arbitrários do sistema operacional.Recommendations
No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.
Restrinja o acesso ao endpoint
/cgi-bin/virtual vol.cgi para minimizar o risco de exploração.Exploit
OS Command Injection
Command Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Dns-340L
Dns-345