Description
设备的 /cgi-bin/login.cgi 接口在处理 POST 请求时，其 POST 请求处理器未对 homepage、hostname 或login_page 参数进行充分的输入验证与过滤。 远程攻击者可以通过构造包含恶意脚本的 POST 请求并诱导管理员触发，从而在管理员浏览器上下文中执行任意JavaScript 代码，可能导致会话劫持或后台配置篡改。
Wavlink WL-WN578W2跨站脚本漏洞(CVE-2026-4544)
PoC
None yet. Search at https://trap.biu.life/?ref=rssReferences
https://avd.aliyun.com/detail?id=AVD-2026-4544
https://cve.imfht.com/detail/CVE-2026-4544
https://www.ddpoc.com/DVB-2026-11024.html
https://www.knowsafe.com/ti/info/0/1006763
https://nvd.nist.gov/vuln/detail/CVE-2026-4544
https://www.sentinelone.com/vulnerability-database/cve-2026-4544/
https://www.cve.org/CVERecord?id=CVE-2026-4544
https://vuldb.com/?id.352361
https://db.gcve.eu/vuln/cve-2026-4544