Descripción
Se encontró una vulnerabilidad en Wavlink WL-WN530BE2-A hasta M30BE2_V250604. El elemento afectado es la función sub_12580 del archivo api.cgi del componente Login Processing. La manipulación del argumento REMOTE_ADDR provoca una inyección de comandos del sistema operativo. Es posible iniciar el ataque de forma remota. El exploit se ha divulgado públicamente y podría utilizarse. Actualizar a la versión 2026-09-24-841a51c6d5_tclinux.bin es suficiente para corregir este problema. Se recomienda actualizar el componente afectado a una versión superior. El fabricante confirma: "Confirmamos el hallazgo y ya ha sido corregido. En el firmware actual, el controlador api=info&client=app ya no construye un comando de shell: el script de inicio de sesión ahora se invoca mediante un vector de argumentos (execvp) en lugar de system(), y la dirección del cliente tiene longitud limitada y se verifica que no sea nula."
Qué hacer
Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.
Versiones afectadas
- WL-WN530BE2-A Afectadas: M30BE2_V250604 No afectadas: 2026-09-24-841a51c6d5_tclinux.bin
Según el registro de la vulnerabilidad en CVE.org, tal como lo publicó el fabricante. Confirma tu versión exacta en el aviso del fabricante.
Referencias
- Referencia en vuldb.comvuldb.com/vuln/420570
- Referencia en vuldb.comvuldb.com/vuln/420570/cti
- Aviso de vuldb.comvuldb.com/cve/CVE-2026-110957
- Aviso de vuldb.comvuldb.com/submit/920217
- Exploit publicadogithub.com/F-yyjy/cve/blob/main/WN530BE2-A_api-cgi.md
- Parchedl.wavlink.com/firmware/RD/WN530BE2_WAVLINK-WO-2026-09-24-841a51c6d5_…
Ver el texto original en inglés (CVE.org)
Wavlink WL-WN530BE2-A Login Processing api.cgi sub_12580 os command injection
A vulnerability has been found in Wavlink WL-WN530BE2-A up to M30BE2_V250604. The affected element is the function sub_12580 of the file api.cgi of the component Login Processing. The manipulation of the argument REMOTE_ADDR leads to os command injection. It is possible to initiate the attack remotely. The exploit has been disclosed to the public and may be used. Upgrading to version 2026-09-24-841a51c6d5_tclinux.bin is sufficient to fix this issue. You should upgrade the affected component. The vendor confirms: "We confirm the finding, and it has already been addressed. In the current firmware the api=info&client=app handler no longer builds a shell command: the login script is now invoked through an argument vector (execvp) instead of system(), and the client address is length-limited and null-checked."