CVE-2026-120197

🔴 WAVLINK WL-WN530HG4B: command injection in router web port forwarding (CVE-2026-120197) A remote attacker can inject OS commands via the Name parameter and take control of the device. No patch listed yet https://cve.now/CVE-2026-120197?utm_source=x&utm_medium=social&utm_campaign=cvedotnow&utm_content=critical

【11/1 夕方】CVE・脆弱性ニュースまとめ ■国内 前回（11/1 昼）以降、国内ベンダー製品やJVN・IPA・JPCERT/CCの注意喚起で、新たに対象となるものはありませんでした。 ■海外 ① WAVLINK「無線LANルーター・中継器 4機種」：管理画面の処理にOSコマンドインジェクション、リモートから機器を乗っ取られるおそれ（CVE-2026-120195／120196／120197／120198、CVSS v3.1 9.9〜10.0、実証コード公開済み） 中国WAVLINKの無線LAN機器4機種で、Web管理画面のCGIが受け取った値をそのままOSのコマンドに渡してしまう脆弱性が、日本時間1日正午から午後1時すぎにかけてhttp://cve.orgへ相次いで登録されました。対象はWL-WN579A3-A（2026-03-10-94f93d4、初期設定ウィザードのSSID欄）、WN579X3-D（V250402）とWL-WN530HG4B（M_V260724、いずれもポート転送設定の名前欄）、WL-WN530BE1-A（V251117、protocol.cspの処理）です。登録元のVulDBによると、WL-WN579A3-AとWL-WN530BE1-Aの2件は認証なしでネットワーク越しに攻撃でき（CVSS 10.0）、残る2件はログインできる立場からの攻撃が前提です（CVSS 9.9）。いずれも攻撃の実証コード（PoC）がすでに公開されていますが、実際の攻撃に使われたという報告は確認できていません。ベンダーには事前に連絡したとされていますが、修正版の公開は現時点で確認できないため、管理画面をインターネット側に公開しない、初期パスワードを変える、といった対策をおすすめします。 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-120195 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-120196 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-120197 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-120198 出典：VulDB https://vuldb.com/vuln/429558 ■注意点 ・米CISAのKEVは1日夕方の時点でも、30日のIvanti Connect Secure 2件以降の追加がありません。Ivanti Connect Secure（CVE-2026-111357）の米連邦機関向け対応期限は11月2日（米国時間）です。 ・WAVLINKの同じ型番を使っている場合は、メーカーサイトで新しいファームウェアが出ていないか確認し、管理画面が外から見えない設定になっているかを見直しておくと安心です。 #脆弱性 #CVE #サイバーセキュリティ

⚠️ Daily CVE Roundup November 1, 2026 Here are the notable CVEs disclosed or updated today: 🔴 Critical & High Severity CVE-2026-120197 (WAVLINK WL-WN530HG4B) CVSS 9.9 (Critical). An OS command injection vulnerability exists in the port_forward function of /cgi-bin/wapi.cgi within WAVLINK WL-WN530HG4B firmware version M_V260724. Manipulation of the Name argument allows remote attackers to execute arbitrary commands. The exploit has been publicly disclosed and may be actively used. The vendor was contacted regarding this disclosure. CVE-2026-118527 (Ivanti Connect Secure) Critical. A predictable numbers or identifiers vulnerability allows remote authenticated attackers to upload files with attacker-controlled content to a known location on disk. This flaw is part of an exploit chain documented by Volexity, alongside CVE-2026-111357 and CVE-2026-104935, which together enable unauthenticated root-level access. Threat actor UTA0576 has been observed exploiting this chain to target Active Directory credentials and BitLocker recovery keys. Fixed in Ivanti Connect Secure 25.1.1.3 and 22.8R2.6. The CISA KEV remediation deadline for federal agencies is November 13. 🟡 Medium & Notable CVE-2026-118341 (Chromium / Microsoft Edge) Critical severity. A use-after-free vulnerability in Chromium's Modularization component. Microsoft Edge (Chromium-based) ingests Chromium and addresses this flaw. Users should update Chrome and Edge to the latest versions. CVE-2026-97229 (GitLab CE/EE) CVSS 10.0 (Critical). An integer overflow or wraparound vulnerability allows unauthenticated remote code execution via crafted CI/CD regex configurations. Affected versions include GitLab 19.2 before 19.2.8, 19.3 before 19.3.5, and 19.4 before 19.4.2. The CISA KEV federal remediation deadline is November 1, 2026. 📢 Join our Telegram channel for daily CVE updates and cybersecurity news: https://t.me/bugbountyusa #CVE #CyberSecurity #VulnerabilityManagement #InfoSec #PatchManagement #ThreatIntelligence #SecurityAdvisory #BugBounty #DailyCVE #CyberNews