CVE-2026-95675: в D-Link DAP-1360 нашли RCE без аутентификации

В веб-интерфейсе D-Link DAP-1360 обнаружена критическая инъекция команд (CVSS 9.8): параметр ipv4 ping в apply.cgi не экранируется, что позволяет неаутентифицированному атакующему выполнять команды от root. D-Link сняла устройство с поддержки в августе 2020 года и патч выпускать не будет; в сети найдено 423 уязвимых экземпляра.

• CVSS v3 — 9.8, эксплойт и технический разбор опубликованы
• Уязвимы все ревизии DAP-1360 с прошивкой 6.14 и старше
• Патча не будет: вендор прекратил поддержку в августе 2020 года
• ZoomEye нашла 423 устройства с отпечатком DAP-1360 в интернете