D-Link Nuclias Connect firmware versions <= 1.3.1.4 contain an observable response discrepancy vulnerability. The application's 'Forgot Password' endpoint returns distinct JSON responses depending on whether the supplied email address is associated with an existing account. Because the responses differ in the `data.exist` boolean value, an unauthenticated remote attacker can enumerate valid email addresses/accounts on the server. NOTE: D-Link states that a fix is under development.
References
| Link | Resource |
|---|---|
| https://supportannouncement.us.dlink.com/security/publication.aspx?name=SAP10472 | Vendor Advisory |
| https://www.dlink.com/en/for-business/nuclias/nuclias-connect | Product |
| https://www.vulncheck.com/advisories/dlink-nuclias-connect-forgot-password-account-enumeration | Third Party Advisory |
Configurations
History
05 Oct 2026, 14:10
| Type | Values Removed | Values Added |
|---|---|---|
| Summary | (es) Las versiones de firmware de D-Link Nuclias Connect menor o igual a 1.3.1.4 contienen una vulnerabilidad de discrepancia de respuesta observable. El endpoint 'Forgot Password' de la aplicación devuelve respuestas JSON distintas dependiendo de si la dirección de correo electrónico proporcionada está asociada con una cuenta existente. Debido a que las respuestas difieren en el valor booleano 'data.exist', un atacante remoto no autenticado puede enumerar direcciones de correo electrónico/cuentas válidas en el servidor. NOTA: D-Link afirma que una solución está en desarrollo. |
30 Sep 2026, 23:10
| Type | Values Removed | Values Added |
|---|---|---|
| Summary |
|
Information
Published : 2025-10-16 19:15
Updated : 2026-10-09 10:10
NVD link : CVE-2025-34255
Mitre link : CVE-2025-34255
CVE.ORG link : CVE-2025-34255
JSON object : View
Products Affected
dlink
- nuclias_connect
CWE
CWE-204
Observable Response Discrepancy