WAVLINK WL-WN530BE1-A: kritična ranjivost omogućava izvršavanje komandi bez prijave
Za WAVLINK WL-WN530BE1-A sa firmverom V251117 objavljen je PoC za CVE-2026-120198. Napad zahteva mrežni pristup ranjivom interfejsu; aktivna eksploatacija i ispravljena verzija nisu potvrđene u proverenim izvorima.
Šta se desilo?
Objavljen je CVE-2026-120198 za izvršavanje sistemskih komandi na ruteru WAVLINK WL-WN530BE1-A bez prethodne prijave. CVE zapis koji je dostavio VulDB navodi javno dostupan demonstracioni primer napada (PoC) i da je proizvođač kontaktiran pre objave. Objavljivanje PoC-a nije dokaz napada na korisnike; provereni izvori ne potvrđuju aktivnu eksploataciju.
Koga pogađa?
Prijava obuhvata model WL-WN530BE1-A sa firmverom V251117, koji je u izvornom istraživanju označen kao M30BE1_V251117. Ne treba automatski obuhvatati sve WAVLINK rutere ili druge verzije. Napadač mora imati mrežni pristup ranjivom veb-interfejsu; oznaka mrežnog napada ne znači da je svaki uređaj dostupan sa interneta.
Kako se zaštititi?
- Proverite tačan model, hardversku reviziju i verziju firmvera na uređaju.
- Onemogućite pristup upravljačkom interfejsu sa interneta ako je uključen.
- Ograničite pristup upravljačkom interfejsu na pouzdane administratorske uređaje i odvojite ga od gostujuće mreže.
- Pratite zvaničnu podršku WAVLINK-a i primenite firmver za tačan model kada proizvođač potvrdi da otklanja ovu ranjivost.
- Ako ne možete pouzdano ograničiti pristup ranjivom uređaju, razmotrite njegovo privremeno povlačenje iz upotrebe ili zamenu.
Tehnički detalji
Prema istraživaču, servis ioos prosleđuje vrednost parametra group_name sistemskoj komandi bez odgovarajuće obrade. Zasebna slabost u proveri HTTP zaglavlja IP-FROM omogućava zaobilaženje prijave u funkciji con_check_read_finish. U kombinaciji, ove greške omogućavaju neautentifikovanom napadaču da izvršava komande preko putanje /protocol.csp. VulDB je dodelio osnovnu ocenu 10,0 po CVSS 3.1, koju prenosi NVD; to nije nezavisna ocena NIST-a. NVD prikazuje i ocenu 9,3 po CVSS 4.0 sa metrikom pretnje (CVSS-BT).
Zašto je važno?
Mogućnost izvršavanja komandi na ruteru može ugroziti uređaj i podatke kojima on pristupa. Javna demonstracija povećava značaj ograničavanja pristupa, ali ne dokazuje masovne napade niti broj kompromitovanih uređaja.
Preporuka Sajber Radara
Prioritet dajte proveri pogođenog modela i ograničavanju mrežnog pristupa. Do provere 1. novembra 2026. nije potvrđena konkretna verzija firmvera koja ispravlja CVE-2026-120198. Ne pretpostavljajte da bilo koje novije izdanje rešava problem. Jaka administratorska lozinka ostaje dobra praksa, ali ne otklanja opisano zaobilaženje prijave.