PT-2026-114973 · Git+1 · Core
CVE-2026-58391
·
تاريخ النشر
2026-10-15
·
تاريخ التحديث
2026-10-15
CVSS v3.1
5.4
متوسطة
| المتجه | AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N |
اسم البرنامج المصاب والإصدارات المتأثرة
OPNsense الإصدارات السابقة لـ 26.1.11
Description
تفشل عروض قواعد جدار الحماية والـ NAT في تطبيق ترميز آمن للاقتباسات على أسماء الفئات وأوصاف الأسماء المستعارة المخزنة في ملفي
filter rule.volt و nat rule.volt. نظرًا لأن طبقة الاستجابة تستخدم ENT NOQUOTES، فإن علامات الاقتباس المزدوجة لا يتم ترميزها، مما يسمح للمهاجم بإغلاق سمة العنوان HTML وإدراج سمة معالج أحداث في عنصر span. يمكن للمستخدم الذي يمتلك صلاحيات تحرير فئات جدار الحماية أو الأسماء المستعارة تفعيل ذلك عن طريق تخزين اسم فئة أو وصف اسم مستعار خبيث وتعيينه لقاعدة تصفية أو NAT. عندما يقوم مسؤول النظام أو مستخدم آخر بفتح صفحة القواعد أو NAT المتأثرة، يتم تنفيذ السكريبت المحقون في جلسته، مما قد يسمح للمهاجم بالوصول إلى مواد تزوير الطلبات عبر المواقع (CSRF)—وهي تقنية تُستخدم لخداع المستخدم لتنفيذ إجراءات غير مرغوب فيها—والقيام بإجراءات مصادق عليها بصفتهم الضحية.Recommendations
التحديث إلى الإصدار 26.1.11.
استغلال
إصلاح
XSS
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
المعرّفات ذات الصلة
المنتجات المتأثرة
Core