CVE-2020-25506
Publicada el · Actualizada el
Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.
Corrige ahora. Ella está bajo explotación confirmada por CISA y tiene exploit funcional público.
Apply updates per vendor instructions.
Los routers D-Link DNS-320 con versión de firmware 2.06B01 tienen una falla de seguridad que permite a atacantes ejecutar comandos arbitrarios en el dispositivo de forma remota sin autenticación, potencialmente asumiendo control total del router.
Vulnerabilidad de inyección de comando en el endpoint system_mgr.cgi permite que atacantes remotos no autenticados ejecuten comandos arbitrarios del sistema operativo a través de entrada especialmente diseñada, llevando a compromiso completo del sistema. La vulnerabilidad existe en la lógica de procesamiento de comandos que falla en sanitizar adecuadamente la entrada del usuario antes de pasarla a funciones de ejecución en shell.
El análisis completo de esta CVE está disponible en portugués →