CVE-2026-109109

KrytyczneCVSS 10.0

Opublikowano: 13/10/2026(UTC)Przetłumaczono: 13/10/2026(UTC)NVD NIST

Streszczenie

Router Wavlink WL-WN530BE1-A w wersji 251117 zawiera podatność przepełnienia bufora na stosie w funkcji strcpy w pliku /cgi-bin/ExportAllSettings.cgi komponentu Settings Export CGI. Manipulacja argumentem HTTP_COOKIE/X-Cmd pozwala na zdalne przeprowadzenie ataku.

Ocena ryzyka

Możliwe zdalne wykonanie kodu lub zawieszenie urządzenia. Exploit jest publicznie dostępny i może zostać wykorzystany przez atakujących.

Rekomendacja

Zastosuj poprawkę producenta, gdy będzie dostępna, a do tego czasu ogranicz dostęp do interfejsu CGI routera z niezaufanych sieci.

Inne podatności w Wavlink WL-WN530BE1-A

CVE-2026-109108Krytyczne
Router Wavlink WL-WN530BE1-A w wersji 251117 zawiera podatność w funkcji popen w pliku /cgi-bin/uploadVpn.cgi. Manipulacja argumentem Type prowadzi do wstrzyknięcia poleceń systemu operacyjnego, a atak można przeprowadzić zdalnie.

Oryginalny opis (angielski, źródło NVD)

A vulnerability was detected in Wavlink WL-WN530BE1-A 251117. This vulnerability affects the function strcpy of the file /cgi-bin/ExportAllSettings.cgi of the component Settings Export CGI. Performing a manipulation of the argument HTTP_COOKIE/X-Cmd results in stack-based buffer overflow. It is possible to initiate the attack remotely. The exploit is now public and may be used. The vendor was contacted early about this disclosure.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS