CVE-2020-25078highbajo ataque

CVE-2020-25078

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear DCS-2530L and DCS-2670L Devices

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

100Vexday Risk Score

Corrige ahora. Ella está bajo explotación confirmada por CISA y tiene exploit funcional público.

ssvc Actcvss 7.5epss 98%
de la publicación al arma209 días
Publicada en NVD2 sept
1ª PoC+209d
CISA KEV+1798d
Acción exigida por CISAplazo federal: 2025-08-26

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

En resumen

Una falla de seguridad en cámaras D-Link permite que cualquier persona en la red vea la contraseña del administrador sin iniciar sesión. Esto es peligroso porque los atacantes pueden tomar control total de la cámara y de la red que protege.

Detalle técnico

Existe una vulnerabilidad de divulgación de información sin autenticación en el endpoint /config/getuser de dispositivos D-Link DCS-2530L y DCS-2670L. Un atacante remoto puede acceder a este endpoint sin autenticación para recuperar credenciales de administrador, lo que permite el compromiso total del dispositivo y movimiento lateral potencial en la red.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

An issue was discovered on D-Link DCS-2530L before 1.06.01 Hotfix and DCS-2670L through 2.02 devices. The unauthenticated /config/getuser endpoint allows for remote administrator password disclosure.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Productos afectados
n/a · n/a
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.