CVE-2026-120280
Publiée le 2026-11-02 · Dernière modification le 2026-11-02
Les routeurs WAVLINK WN536AX6-A utilisant la version de firmware V260507 sont affectés par une faille dans le composant WireGuard. Plus précisément, le gestionnaire `wireguard_cli_group` du fichier `/protocol.csp` ne nettoie pas correctement les arguments `group_id` ou `group_name`. Cela permet à un utilisateur d'injecter ses propres commandes du système d'exploitation dans la requête.
Un attaquant peut exécuter à distance des commandes arbitraires avec des privilèges élevés, lui donnant un contrôle total sur la confidentialité, l'intégrité et la disponibilité de l'appareil. Cette attaque est simple à exécuter car elle ne nécessite aucune authentification, aucune interaction de l'utilisateur et peut être effectuée via le réseau. Un code d'exploitation public est déjà disponible, ce qui rend le risque significatif pour les appareils exposés.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
A vulnerability has been found in WAVLINK WN536AX6-A V260507. The impacted element is the function wireguard_cli_group handler of the file /protocol.csp of the component WireGuard. The manipulation of the argument group_id/group_name leads to os command injection. The attack may be initiated remotely. The exploit has been disclosed to the public and may be used. The vendor was contacted early about this disclosure.