Descripción
Se encontró una vulnerabilidad en Wavlink WN530HG4B M30HG4B_V260724. El elemento afectado es una función desconocida del archivo api.cgi. La manipulación provoca un desbordamiento de búfer en el heap. Es posible lanzar el ataque de forma remota. El exploit se ha hecho público y podría utilizarse. Actualizar a la versión 2026-09-24-841a51c6d5_tclinux.bin es suficiente para resolver este problema. Se recomienda actualizar el componente afectado a una versión superior. El fabricante confirma: "Confirmamos el hallazgo y ya ha sido corregido. En el firmware actual, el controlador api=info&client=app ya no construye un comando de shell: el script de inicio de sesión ahora se invoca mediante un vector de argumentos (execvp) en lugar de system(), y la dirección del cliente tiene longitud limitada y se verifica que no sea nula."
Qué hacer
Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.
Versiones afectadas
- WN530HG4B Afectadas: M30HG4B_V260724 No afectadas: 2026-09-24-841a51c6d5_tclinux.bin
Según el registro de la vulnerabilidad en CVE.org, tal como lo publicó el fabricante. Confirma tu versión exacta en el aviso del fabricante.
Referencias
- Referencia en vuldb.comvuldb.com/vuln/420571
- Referencia en vuldb.comvuldb.com/vuln/420571/cti
- Aviso de vuldb.comvuldb.com/cve/CVE-2026-110958
- Aviso de vuldb.comvuldb.com/submit/933388
- Exploit publicadodrive.google.com/file/d/12OOh8g9YDCbD-Q4cc52J6TH9KuOoD44A/view
- Parchedl.wavlink.com/firmware/RD/WN530BE2_WAVLINK-WO-2026-09-24-841a51c6d5_…
Ver el texto original en inglés (CVE.org)
Wavlink WN530HG4B api.cgi heap-based overflow
A vulnerability was found in Wavlink WN530HG4B M30HG4B_V260724. The impacted element is an unknown function of the file api.cgi. The manipulation results in heap-based buffer overflow. It is possible to launch the attack remotely. The exploit has been made public and could be used. Upgrading to version 2026-09-24-841a51c6d5_tclinux.bin is sufficient to resolve this issue. The affected component should be upgraded. The vendor confirms: "We confirm the finding, and it has already been addressed. In the current firmware the api=info&client=app handler no longer builds a shell command: the login script is now invoked through an argument vector (execvp) instead of system(), and the client address is length-limited and null-checked."