关键漏洞信息 漏洞概述 漏洞类型: 未认证命令注入 (Unauthenticated Command Injection) 受影响设备: WAVLINK WL-WN578W2 M78W2_V221110 影响文件: CVE ID: 待定 (Pending) 漏洞细节 厂商: WAVLINK 产品: WAVLINK WL-WN578W2 (无线范围扩展器) 固件版本: M78W2_V221110 固件下载链接: 固件下载 受影响端点: (POST方法，无需登录) 触发条件: 请求参数 易受攻击参数: 描述 1. 无效的身份验证检查: 函数中的身份验证逻辑 ( ) 无效，允许未认证的请求被处理。 2. 动作路由: 当 参数存在时， 函数被调用来处理请求。 3. 未过滤的注入: 参数被提取并直接拼接到命令字符串中，没有过滤分隔符（如 ），允许未认证的攻击者注入任意命令。 证明概念 (PoC) 1. 启动Netcat监听器: 2. 发送未认证的POST请求: 3. 验证执行: 通过Netcat监听器接收来自设备的响应，确认命令注入成功。