CVE-2026-120277
Publiée le 2026-11-02 · Dernière modification le 2026-11-02
Les routeurs WAVLINK WN536AX6-A utilisant la version de firmware V260507_2.0.0 sont concernés. La faille se situe dans le gestionnaire de groupe CLI de WireGuard, plus précisément dans la manière dont le fichier `/bin/ioos` traite l'argument `group_name`. Comme le logiciel ne nettoie pas correctement cette entrée, un attaquant peut injecter ses propres commandes de système d'exploitation dans la requête.
Un attaquant peut utiliser cela pour prendre le contrôle total de l'appareil, compromettant ainsi la confidentialité, l'intégrité et la disponibilité du routeur et du réseau qui lui est connecté. L'attaque est facile à exécuter car elle peut être réalisée à distance via le réseau, sans nécessiter d'authentification ni d'interaction de la part de l'utilisateur. Un code d'exploitation public est actuellement disponible, ce qui rend le risque important pour les appareils exposés.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
A security vulnerability has been detected in WAVLINK WN536AX6-A V260507_2.0.0. This issue affects the function sub_41a1d8 of the file /bin/ioos of the component WireGuard CLI Group Handler. Such manipulation of the argument group_name leads to os command injection. It is possible to launch the attack remotely. The exploit has been disclosed publicly and may be used. The vendor was contacted early about this disclosure.