Nerya Zadkani

**Name of the Vulnerable Software and Affected Versions** D-Link DSL-224 version 3.0.10 D-Link DSL-G256DG (affected versions not specified) **Description** The issue is related to a command execution vulnerability that can be exploited after authentication. It is associated with deficiencies in the authentication procedure, allowing a remote attacker to execute arbitrary commands. **Recommendations** For D-Link DSL-224 version 3.0.10, update to a newer version that contains a fix for this issue. For D-Link DSL-G256DG, at the moment, there is no information about a newer version that contains a fix for this vulnerability.

**Name of the Vulnerable Software and Affected Versions** D-Link DSL-224 firmware version 3.0.10 **Description** The issue is related to improper restriction of excessive authentication attempts, which can be exploited by a remote attacker to bypass security restrictions and gain unauthorized access to protected information. **Recommendations** For D-Link DSL-224 firmware version 3.0.10, consider restricting access to the authentication mechanism to minimize the risk of exploitation until a patch is available. As a temporary workaround, limit the number of authentication attempts to prevent brute-force attacks. At the moment, there is no information about a newer version that contains a fix for this vulnerability.

**Nome do software vulnerável e versões afetadas** Roteador DLINK versão 3.0.8 **Descrição** A vulnerabilidade permite a injeção de comandos por meio da interface usada para configurar servidores NTP via API jsonrpc, possibilitando a execução de comandos com permissões de ROOT no roteador. Isso é viabilizado pela injeção de um comando através da interface API jsonrpc para configuração do servidor NTP. **Recomendações** Para a versão 3.0.8, considere desativar a interface da API jsonrpc para configuração do servidor NTP até que um patch esteja disponível, a fim de prevenir possíveis ataques de injeção de comando. Restrinja o acesso à interface de configuração do servidor NTP para minimizar o risco de exploração.

**Nome do software vulnerável e versões afetadas** Supersmart (versões afetadas não especificadas) **Descrição** A vulnerabilidade permite o download de todos os recibos sem autenticação. Para explorar essa vulnerabilidade, um invasor deve primeiro acessar o endpoint da API “https://XXXX.supersmart.me/services/v4/customer/signin” para obter um `TOKEN`. Em seguida, ele pode acessar a API que fornece imagens de faturas com base na URL “https://XXXX.supersmart.me/services/v4/invoiceImg?orderId=XXXXX”. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.