Descripción
Los routers WAVLINK WN535M1 y WN535M3 con firmware anterior a M35M1_V250922 contienen una vulnerabilidad de escritura arbitraria de archivos sin autenticación que permite a atacantes remotos sobrescribir cualquier archivo del dispositivo mediante el envío de una carga útil especialmente manipulada al daemon sync_server en el puerto TCP 13136. El daemon, que se ejecuta como root y no requiere autenticación, acepta un campo de nombre de archivo de 100 bytes en el encabezado de su protocolo sin canonicalización de rutas, lo que permite a los atacantes indicar una ruta absoluta y escribir contenido arbitrario para sobrescribir scripts de inicio o almacenes de credenciales y así lograr un compromiso persistente del sistema.
Qué hacer
Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.
Versiones afectadas
- WN535M1 Afectadas: M35M1_V210223 No afectadas: M35M1_V250922
- WN535M3 Afectadas: M35M1_V210223 No afectadas: M35M1_V250922
Según el registro de la vulnerabilidad en CVE.org, tal como lo publicó el fabricante. Confirma tu versión exacta en el aviso del fabricante.
Referencias
- Aviso del fabricantedocs.wavlink.xyz/Security_Advisory/WAVLINK-SA-2026-091301/
- Exploit publicadogithub.com/camdsmith/wavlink-sync_server-rce/blob/main/README.md
- Aviso de vulncheck.comvulncheck.com/advisories/wavlink-wn535m1-wn535m3-unauthenticated-arbi…
Ver el texto original en inglés (CVE.org)
WAVLINK WN535M1/WN535M3 Unauthenticated Arbitrary File Write via sync_server
WAVLINK WN535M1 and WN535M3 routers running firmware prior to M35M1_V250922 contain an unauthenticated arbitrary file write vulnerability that allows remote attackers to overwrite any file on the device by sending a crafted payload to the sync_server daemon on TCP port 13136. The daemon, which runs as root and requires no authentication, accepts a 100-byte filename field in its protocol header without path canonicalization, allowing attackers to supply an absolute path and write arbitrary content to overwrite startup scripts or credential stores to achieve persistent system compromise.