PT-2025-42528 · D Link · D-Link Nuclias Connect

Alex Williams · Publicado 2025-10-16 · Atualizado 2025-10-16 · CVE-2025-34254

Positive Technologies (AI Summary) · Pt

CVSS v4.0

6.9

Média

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas D-Link Nuclias Connect versões 1.3.1.4 e anteriores

Descrição O endpoint 'Login' da aplicação, /Login, exibe uma discrepância observável na resposta. O endpoint retorna respostas JSON diferentes dependendo se o username fornecido está vinculado a uma conta existente. Essas respostas diferentes, especificamente na string error.message, permitem que um atacante remoto enumere nomes de usuário e contas válidas no servidor sem autenticação.

Recomendações Versões anteriores à 1.3.1.4 são afetadas. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Enumeração de Fraquezas

CWE-204

Identificadores relacionados

BDU:2025-13177

CVE-2025-34254

Produtos afetados

D-Link Nuclias Connect

Referências · 9

• https://twitter.com/VulmonFeeds/status/1978969471919280429 · Publicação no Twitter
• https://supportannouncement.us.dlink.com/security/publication.aspx?name=SAP10472 · Aviso do Fabricante
• https://dlink.com/en/for-business/nuclias/nuclias-connect · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-34254 · Nota de Segurança
• https://twitter.com/CVEnew/status/1978926549740007797 · Publicação no Twitter
• https://t.me/CVEtracker/35141 · Publicação no Telegram
• https://bdu.fstec.ru/vul/2025-13177 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2025-34254 · Aviso do Fabricante
• https://vulncheck.com/advisories/dlink-nuclias-connect-login-account-enumeration · Nota