CVE-2026-8189
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 91 - wyżej niż 91% wszystkich znanych CVE
Streszczenie
W urządzeniu Wavlink NU516U1 w wersji M16U1_V240425 wykryto podatność na wstrzykiwanie poleceń systemu operacyjnego. Problem dotyczy funkcji wzdrepeater w pliku /cgi-bin/adm.cgi, gdzie atakujący może manipulować argumentami wlan_bssid, sel_Automode lub sel_EncrypTyp. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
Ocena ryzyka
Zdalny atakujący może wykonać dowolne polecenia systemowe na urządzeniu, co może prowadzić do pełnej kompromitacji urządzenia i sieci.
Rekomendacja
Należy natychmiast zaktualizować oprogramowanie sprzętowe urządzenia do najnowszej wersji, jeśli producent udostępnił łatkę. W przeciwnym razie rozważ wycofanie urządzenia z eksploatacji.
Inne podatności w Wavlink NU516U1
Zobacz wszystkie- CVE-2026-8230Średnie
W urządzeniu Wavlink NU516U1 w wersji 240425 wykryto podatność na wstrzykiwanie poleceń systemu operacyjnego w funkcji sys_login1 pliku /cgi-bin/login.cgi. Manipulacja argumentem ipaddr umożliwia zdalne wykonanie poleceń. Exploit został opublikowany.
- CVE-2026-8229Średnie
W urządzeniu Wavlink NU516U1 w wersji 240425 stwierdzono podatność na wstrzykiwanie poleceń systemu operacyjnego w funkcji WifiBasic pliku /cgi-bin/wireless.cgi. Manipulacja argumentami AuthMethod/EncrypType umożliwia zdalne wykonanie poleceń. Exploit jest publicznie dostępny.
- CVE-2026-8228Średnie
W urządzeniu Wavlink NU516U1 w wersji 240425 wykryto podatność na wstrzykiwanie poleceń systemu operacyjnego. Problem dotyczy funkcji advance w pliku /cgi-bin/wireless.cgi, gdzie atakujący może manipulować argumentami wlan_conf, Channel, skiplist lub ieee_80211h. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
- CVE-2026-8227Średnie
W urządzeniu Wavlink NU516U1 w wersji 240425 wykryto podatność na wstrzykiwanie poleceń systemu operacyjnego w funkcji wzdapMesh pliku /cgi-bin/adm.cgi. Atak może być przeprowadzony zdalnie. Exploit został udostępniony publicznie.
- CVE-2026-8192Średnie
W urządzeniu Wavlink NU516U1 w wersji M16U1_V240425 stwierdzono podatność na wstrzykiwanie poleceń systemu operacyjnego w funkcji wzdap pliku /cgi-bin/adm.cgi. Manipulacja argumentami EncrypType/wl_Pass umożliwia zdalne wykonanie poleceń. Exploit został opublikowany.
- CVE-2026-8191Średnie
W urządzeniu Wavlink NU516U1 w wersji M16U1_V240425 wykryto podatność na wstrzykiwanie poleceń systemu operacyjnego w funkcji wifi_region pliku /cgi-bin/adm.cgi. Manipulacja argumentami skiplist1/skiplist2 umożliwia zdalne wykonanie poleceń. Exploit jest publicznie dostępny.
- CVE-2026-8190Średnie
W urządzeniu Wavlink NU516U1 w wersji M16U1_V240425 stwierdzono podatność na wstrzykiwanie poleceń systemu operacyjnego w funkcji wan pliku /cgi-bin/adm.cgi. Manipulacja argumentami ppp_username, ppp_passwd, rwan_ip, rwan_mask, rwan_gateway umożliwia zdalne wykonanie poleceń. Exploit został ujawniony.
- CVE-2026-8188Średnie
W urządzeniu Wavlink NU516U1 w wersji M16U1_V240425 stwierdzono podatność na wstrzykiwanie poleceń systemu operacyjnego w funkcji change_wifi_password pliku /cgi-bin/adm.cgi. Manipulacja argumentami wl_channel, wl_Pass, EncrypType umożliwia zdalne wykonanie poleceń. Exploit został ujawniony.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was found in Wavlink NU516U1 M16U1_V240425. Affected by this vulnerability is the function wzdrepeater of the file /cgi-bin/adm.cgi. The manipulation of the argument wlan_bssid/sel_Automode/sel_EncrypTyp results in os command injection. It is possible to launch the attack remotely. The exploit has been made public and could be used. The vendor was contacted early about this disclosure.