CVE-2022-35518

Command injection w WAVLINK nas.cgi — brak filtrowania parametrów User1Passwd i User1

CVSS 9.8v3.1pub. 2022-08-10upd. 2025-10-20

Urządzenia sieciowe WAVLINK z serii WN572HP3, WN533A8, WN530H4, WN535G3 i WN531P3 są podatne na command injection w pliku nas.cgi. Brak jakiejkolwiek walidacji parametrów User1Passwd i User1 pozwala nieuwierzytelnionemu atakującemu na zdalne wykonanie poleceń systemowych.

▸ Pokaż oryginał (EN)

WAVLINK WN572HP3, WN533A8, WN530H4, WN535G3, WN531P3 nas.cgi has no filtering on parameters: User1Passwd and User1, which leads to command injection in page /nas_disk.shtml.

🤖 Analiza AI

Jak działa

Plik nas.cgi, obsługujący stronę /nas_disk.shtml, nie filtruje danych wejściowych przekazywanych w parametrach User1Passwd oraz User1. Atakujący może osadzić w tych parametrach złośliwe polecenia systemowe, które zostaną przekazane bezpośrednio do interpretera poleceń na urządzeniu. Podatność nie wymaga uwierzytelnienia, żadnej interakcji użytkownika ani szczególnych warunków sieciowych, co czyni ją trywialną do wykorzystania zdalnie przez sieć.

Skutki

Atakujący może uzyskać pełną kontrolę nad urządzeniem poprzez zdalne wykonanie dowolnych poleceń systemowych (RCE), co zagraża poufności, integralności oraz dostępności urządzenia i powiązanej infrastruktury sieciowej.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Dodatkowo zaleca się ograniczenie dostępu do panelu administracyjnego urządzenia wyłącznie do zaufanych adresów IP oraz izolację urządzenia od publicznej sieci Internet za pomocą firewall.