CVE-2026-113802: в прошивке Wavlink нашли RCE с обходом логина

В прошивке Wavlink WL-WN530BE1-A (до M30BE1_V251117) обнаружена инъекция команд в бинарнике ioos: поддельный заголовок IP-FROM: 127.0.0.1 обходит авторизацию и даёт выполнение команд от root. NVD оценила уязвимость в 9.8 по CVSS 3.1. Поиск ZoomEye нашёл 3502 хоста с отпечатком Wavlink, но ни одного совпадения с заголовком страницы.

• CVE-2026-113802: инъекция команд в ioos, CVSS 3.1 — 9.8, CVSS 4.0 — 9.3
• Поддельный заголовок IP-FROM: 127.0.0.1 обходит вход и даёт права root
• ZoomEye: 3502 хоста с отпечатком Wavlink, 2992 из них на порту 80
• Совпадений app="Wavlink" и title="Wavlink" — ноль