آسیب‌پذیری‌های Command Injection در محصولات WAVLINK مدل WN551X3-A

یک آسیب‌پذیری بحرانی از نوع OS Command Injection در روترهای مدل WAVLINK WL-WN530HG4B M_V260724 شناسایی شده است. این نقص امنیتی مستقیماً تابع port_forward را در فایل /cgi-bin/wapi.cgi تحت تأثیر قرار می‌دهد.

مهاجمان می‌توانند با دستکاری آرگومان Name، دستورات سیستم‌عامل را تزریق کنند. این حمله می‌تواند به صورت از راه دور (Remote) انجام شود. با توجه به اینکه اکسپلویت (Exploit) این آسیب‌پذیری منتشر شده است، خطر سوءاستفاده از آن بسیار بالا ارزیابی می‌شود.

به‌روزرسانی (نوامبر 1, 2026 — NIST)

به‌روزرسانی: جزئیات فنی جدیدی از آسیب‌پذیری بحرانی در تجهیزات WAVLINK منتشر شده است. این نقص که با شناسه CVE-2026-120196 ثبت شده، مستقیماً مدل WAVLINK WN579X3-D V250402 را تحت تأثیر قرار می‌دهد.

تحقیقات نشان می‌دهد که آسیب‌پذیری در تابع port_forward در مسیر /cgi-bin/wapi.cgi قرار دارد. مهاجم می‌تواند با دستکاری آرگومان Name، عملیات OS Command Injection را انجام داده و دستورات خود را از راه دور (Remote) اجرا کند. با توجه به اینکه اکسپلویت (Exploit) این نقص اکنون عمومی شده است، فوریت در به‌روزرسانی و مقابله با این تهدید بسیار بالا است.

به‌روزرسانی (نوامبر 1, 2026 — Vuln Today)

به‌روزرسانی: یک آسیب‌پذیری بحرانی از نوع Command Injection در محصول جدید WL-WN579A3-A از شرکت WAVLINK شناسایی شده است که تحت شناسه CVE-2026-120195 ثبت شده است. این نقص در فایل /cgi-bin/adm.cgi و از طریق تابع set_wzdgwMesh در بخش Initial Setup Wizard رخ می‌دهد.

مهاجم می‌تواند با ارسال یک درخواست دستکاری‌شده به پارامتر wlan_ssid، دستورات سیستم‌عامل (OS Commands) را با سطح دسترسی root اجرا کند. این آسیب‌پذیری بدون نیاز به احراز هویت (Unauthenticated) و با پیچیدگی پایین قابل بهره‌برداری است.

• شناسه: CVE-2026-120195
• نوع آسیب‌پذیری: Command Injection (CWE-78)
• وضعیت وصله: هنوز اصلاحیه‌ای (Patch) از سوی سازنده منتشر نشده است.

توصیه می‌شود دسترسی به رابط مدیریت HTTP از طریق شبکه WAN غیرفعال شده و دسترسی به این بخش تنها از طریق شبکه‌های داخلی (LAN) یا VPN محدود شود.

به‌روزرسانی (نوامبر 2, 2026 — ThreatCluster)

به‌روزرسانی: آسیب‌پذیری جدیدی با شناسه CVE-2026-120345 در محصول WN551X3-A (نسخه M51X3_V251020-WO-182e965) از برند WAVLINK شناسایی شده است.

این نقص امنیتی از نوع Command Injection است که در تابع sub_41a430 از فایل /bin/ioos در بخش DNS Resolution Handler قرار دارد. با دستکاری داده‌های ورودی (Argument Data)، مهاجم می‌تواند دستورات سیستم‌عامل را از راه دور اجرا کند. لازم به ذکر است که اکسپلویت (Exploit) این آسیب‌پذیری به‌صورت عمومی منتشر شده و امکان سوءاستفاده از آن وجود دارد.

به‌روزرسانی (نوامبر 2, 2026 — ThreatCluster)

به‌روزرسانی: یک آسیب‌پذیری جدید از نوع Command Injection در محصول WAVLINK مدل WN551X3-A (نسخه M51X3_V251020-WO-182e965) شناسایی شده است.

این نقص امنیتی با شناسه CVE-2026-120344، در فایل /bin/ioos و در کامپوننت WireGuard CLI Group Handler قرار دارد. مهاجم می‌تواند با دستکاری آرگومان group_name، دستورات سیستم‌عامل (OS Command Injection) را از راه دور (Remote) اجرا کند. با توجه به اینکه اکسپلویت (Exploit) این آسیب‌پذیری به صورت عمومی منتشر شده است، سطح خطر بسیار بالا ارزیابی می‌شود.