WAVLINK WN553X1-B
WAVLINK WN553X1-B: command injection nel servizio ioos tramite group_id/group_name
Il problema, secondo i dati ufficiali
- Nel servizio ioos di WAVLINK WN553X1-B, la funzione sub_416D88 del file /bin/ioos non gestisce correttamente i parametri group_id e group_name. Manipolandoli si può causare una OS command injection, cioè l'inserimento di comandi del sistema operativo.
- L'attacco si esegue da remoto, via rete. Secondo il punteggio ufficiale basta un account qualsiasi, anche con pochi permessi.
- È stato pubblicato un exploit che può essere usato. Il produttore è stato contattato in anticipo riguardo alla divulgazione.
- La scheda raccoglie 6 vulnerabilità pubblicate lo stesso giorno sullo stesso prodotto: i dati sopra sono quelli della più grave.
Cosa fare
- I dati ufficiali della CVE non indicano una versione corretta: segui l'avviso del produttore.
- Se non puoi aggiornare subito, applica le misure temporanee indicate nell'avviso del produttore (a volte chiede di spegnere il servizio); se non ne indica e il servizio è raggiungibile da internet, limita chi può raggiungerlo (VPN o filtro degli indirizzi).
Versioni interessate
- WN553X1-B: V260403_2.0.0
Fonti ufficiali
- vuldb.com — riferimento
- vuldb.com — riferimento
- vuldb.com — riferimento
- vuldb.com — riferimento
- github.com — riferimento
Descrizione ufficiale (in inglese)
A flaw has been found in WAVLINK WN553X1-B V260403_2.0.0. This vulnerability affects the function sub_416D88 of the file /bin/ioos of the component ioos Service. Executing a manipulation of the argument group_id/group_name can lead to os command injection. The attack can be executed remotely. The exploit has been published and may be used. The vendor was contacted early about this disclosure.
Non sai se ti riguarda?
Se usi WAVLINK WN553X1-B e non sai quale versione hai, o hai un sito o un e-commerce da tenere al sicuro, possiamo controllarlo noi. Intanto puoi fare un primo controllo gratuito.
Il riassunto del problema è scritto da un modello linguistico (Claude di Anthropic) a partire dalla descrizione ufficiale, e controllato in automatico contro di essa. Soluzione e versioni vengono solo dai dati ufficiali (CISA KEV, NVD, CVE.org, FIRST EPSS). Non è più tra le allerte recenti: i dati sono quelli dell'ultimo aggiornamento. Ultimo aggiornamento: 2 novembre 2026. Prima di intervenire verifica l'avviso del produttore.