CVE-2019-20500highbajo ataqueCWE-78

CVE-2019-20500

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear DWL-2600AP Access Point

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

93Vexday Risk Score

Prioriza la corrección. Ella está bajo explotación confirmada por CISA y tiene prueba de concepto pública.

ssvc Actcvss 7.8epss 97%
de la publicación al arma
Publicada en NVD5 mar
CISA KEV+1211d
Acción exigida por CISAplazo federal: 2023-07-20

Apply updates per vendor instructions or discontinue use of the product if updates are unavailable.

En resumen

Un atacante autenticado puede ejecutar comandos arbitrarios del sistema operativo en un punto de acceso inalámbrico D-Link DWL-2600AP inyectando metacaracteres de shell a través de la función de guardar configuración en la interfaz web.

Detalle técnico

Existe inyección de comandos del sistema operativo (CWE-78) en admin.cgi al procesar los parámetros configBackup o downloadServerip durante operaciones de config_save. Un atacante autenticado puede inyectar metacaracteres de shell para lograr ejecución arbitraria de comandos con privilegios del dispositivo. La vulnerabilidad requiere credenciales válidas y afecta al firmware D-Link DWL-2600AP versión 4.2.0.15 Rev A.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

D-Link DWL-2600AP 4.2.0.15 Rev A devices have an authenticated OS command injection vulnerability via the Save Configuration functionality in the Web interface, using shell metacharacters in the admin.cgi?action=config_save configBackup or downloadServerip parameter.
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Productos afectados
n/a · n/a
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.