CVE-2026-120282
KrytyczneCVSS 9.9Streszczenie
W urządzeniu WAVLINK WN536AX6-A (wersja V260507) wykryto podatność w funkcji host_black w pliku /protocol.csp. Manipulacja argumentem mac prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Exploit został publicznie ujawniony i może być wykorzystany zdalnie.
Ocena ryzyka
Zdalny atakujący może wykonać dowolne polecenia systemowe na urządzeniu, przejmując nad nim kontrolę. Publiczna dostępność exploitu zwiększa ryzyko szybkiego wykorzystania w atakach.
Rekomendacja
Należy niezwłocznie ograniczyć dostęp do interfejsu zarządzania urządzeniem i zastosować poprawkę od producenta, gdy tylko będzie dostępna. Do tego czasu zaleca się odizolowanie urządzenia w sieci.
Inne podatności w WAVLINK WN536AX6-A
Zobacz wszystkie- CVE-2026-120278Średnie
W urządzeniu WAVLINK WN536AX6-A (wersja V260507_2.0.0) wykryto podatność w funkcjach sub_416d48/sub_41a7c0 pliku /bin/ioos, w komponencie obsługi listy klientów VPN. Manipulacja argumentem opt prowadzi do braku uwierzytelnienia (missing authentication). Atak można zainicjować zdalnie, a exploit jest już publiczny.
- CVE-2026-120281Krytyczne
W urządzeniu WAVLINK WN536AX6-A (wersja V260507) w komponencie OpenVPN Handler wykryto podatność w funkcji strcpy w pliku /protocol.csp. Manipulacja argumentem openvpn_ip powoduje przepełnienie bufora na stosie. Exploit został upubliczniony i atak można przeprowadzić zdalnie.
- CVE-2026-120280Krytyczne
W urządzeniu WAVLINK WN536AX6-A (wersja V260507) w komponencie WireGuard wykryto podatność w funkcji wireguard_cli_group w pliku /protocol.csp. Manipulacja argumentami group_id/group_name prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Exploit został ujawniony publicznie i atak można zainicjować zdalnie.
- CVE-2026-120279Krytyczne
W urządzeniu WAVLINK WN536AX6-A (wersja V260507) w komponencie openvpn_cli Handler wykryto podatność w nieznanej funkcji pliku /protocol.csp. Manipulacja argumentem file_id prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Exploit został opublikowany i atak można przeprowadzić zdalnie.
- CVE-2026-120277Krytyczne
W urządzeniu WAVLINK WN536AX6-A (wersja V260507_2.0.0) wykryto podatność w funkcji sub_41a1d8 pliku /bin/ioos, związanej z obsługą grupy WireGuard CLI. Manipulacja argumentem group_name prowadzi do wstrzyknięcia poleceń systemowych (OS command injection). Podatność można wykorzystać zdalnie, a publiczny exploit jest już dostępny.
- CVE-2026-120276Krytyczne
W urządzeniu WAVLINK WN536AX6-A (wersja V260507_2.0.0) zidentyfikowano słabość w funkcji sub_416760 pliku /bin/ioos, w komponencie interfejsu zarządzania webowego. Manipulacja argumentem group_name powoduje wstrzyknięcie poleceń systemowych (OS command injection). Atak można zainicjować zdalnie, a exploit został publicznie udostępniony.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was determined in WAVLINK WN536AX6-A V260507. This impacts the function host_black of the file /protocol.csp. This manipulation of the argument mac causes os command injection. Remote exploitation of the attack is possible. The exploit has been publicly disclosed and may be utilized. The vendor was contacted early about this disclosure.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS