CVE-2026-120276
Publiée le 2026-11-02 · Dernière modification le 2026-11-02
Les routeurs WAVLINK WN536AX6-A utilisant la version V260507_2.0.0 présentent une faille dans l'interface de gestion web. Plus précisément, le composant `/bin/ioos` ne nettoie pas correctement l'argument `group_name`. Cela permet à un utilisateur d'injecter ses propres commandes système dans une requête, que l'appareil exécute ensuite avec des privilèges élevés.
Un attaquant peut ainsi prendre le contrôle total du routeur, lui permettant de voler des données, de modifier les paramètres ou de couper le réseau. Comme cela ne nécessite ni authentification ni interaction de l'utilisateur, l'attaque peut être déclenchée à distance via le réseau. Des codes d'exploitation publics existent, rendant l'attaque relativement facile à exécuter pour toute personne ayant accès à la page de connexion de gestion.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
A weakness has been identified in WAVLINK WN536AX6-A V260507_2.0.0. This vulnerability affects the function sub_416760 of the file /bin/ioos of the component Web Management Interface. This manipulation of the argument group_name causes os command injection. It is possible to initiate the attack remotely. The exploit has been made available to the public and could be used for attacks. The vendor was contacted early about this disclosure.