CVE-2025-34254mediumCWE-204

CVE-2025-34254: fallo de gravedad media en D-Link Nuclias Connect

D-Link Nuclias Connect <= v1.3.1.4 Login Account Enumeration

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear Nuclias Connect

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

13Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 6.9epss 1.0%
En resumen

D-Link Nuclias Connect versión 1.3.1.4 y anteriores exponen si un usuario existe en el sistema a través de mensajes de error diferentes en el inicio de sesión. Un atacante puede descubrir qué cuentas son válidas sin necesidad de contraseña, comprometiendo la privacidad de las cuentas.

Detalle técnico

El endpoint de login presenta vulnerabilidad de discrepancia de respuesta (CWE-204) donde se retornan mensajes de error JSON distintos para nombres de usuario válidos versus inválidos. Un atacante remoto no autenticado puede enumerar cuentas existentes mediante análisis diferencial de respuestas.

Resumen generado y traducido por IA a partir de la descripción oficial.
D-Link Nuclias Connect firmware versions <= 1.3.1.4 contain an observable response discrepancy vulnerability. The application's 'Login' endpoint returns distinct JSON responses depending on whether the supplied username is associated with an existing account. Because the responses differ in the `error.message`string value, an unauthenticated remote attacker can enumerate valid usernames/accounts on the server. NOTE: D-Link states that a fix is under development.
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N
Productos afectados
D-Link · Nuclias Connect
CVEs relacionadas — D-Link Nuclias Connect

En el mismo producto, de las más peligrosas a las menos.

CVE-2025-34255MEDIUMD-Link Nuclias Connect <= v1.3.1.4 Forgot Password Account EnumerationEPSS 1.0%CVE-2025-34248HIGHD-Link Nuclias Connect < v1.3.1.4 Directory Traversal to Arbitrary File DeletionEPSS 0.7%CVE-2025-34253MEDIUMD-Link Nuclias Connect <= v1.3.1.4 Stored Cross-Site Scripting (XSS)EPSS 0.5%