PT-2024-8829 · D Link+1 · D-Link Dwr 2000M+1

Mrnmap + 3 · Publicado 2024-11-10 · Atualizado 2024-11-22 · CVE-2024-28730

Positive Technologies (AI Summary) · Pt

CVSS v2.0

7.2

Alta

Vetor base

AV:L/AC:L/Au:N/C:C/I:C/A:C

Nome do software vulnerável e versões afetadas:

Versões do D-Link DWR 2000M anteriores à versão corrigida

D-Link DWR 2000M 5G CPE com Wi-Fi 6 Ax1800, versão DWR-2000M 1.34ME

Descrição:

A vulnerabilidade existe devido à falta de proteção da estrutura da página web na função de upload de arquivos do módulo de configuração de VPN. Isso permite que um invasor realize ataques de cross-site scripting ao enviar um arquivo de configuração OpenVPN (.ovpn) especialmente criado. Um invasor local pode obter informações confidenciais por meio do recurso de upload de arquivos do módulo de configuração de VPN.

Recomendações:

Para versões do D-Link DWR 2000M anteriores à versão corrigida, considere desativar o recurso de upload de arquivos do módulo de configuração de VPN até que um patch esteja disponível.

Para o D-Link DWR 2000M 5G CPE com Wi-Fi 6 Ax1800, versão DWR-2000M 1.34ME, restrinja o acesso ao módulo de configuração de VPN para minimizar o risco de exploração.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

BDU:2024-10465

CVE-2024-28730

Produtos afetados

D-Link Dwr 2000M

Openvpn

Referências · 8

• 🔥 https://github.com/Mrnmap/mrnmap-cve/blob/main/CVE-2024-28730-ReflectedXSS · Exploit
• 🔥 https://github.com/Mrnmap/mrnmap-cve · Exploit
• https://nvd.nist.gov/vuln/detail/CVE-2024-28730 · Nota de Segurança
• https://twitter.com/CVEnew/status/1856828074371019188 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-28730 · Aviso do Fabricante
• https://github.com/advisories/GHSA-6gqj-7563-wqv6 · Nota
• https://t.me/cvedetector/10757 · Publicação no Telegram
• https://bdu.fstec.ru/vul/2024-10465 · Nota de Segurança