CVE-2026-63442

اسم البرنامج المصاب والإصدارات المتأثرة OPNsense الإصدارات السابقة لـ 26.1.11

الوصف يقبل حقل اسم المستخدم usernamefld في واجهة تسجيل الدخول WebGUI غير المصادق عليها أحرف العودة (carriage-return) وتغذية السطر (line-feed). تستمر هذه الأحرف عبر معالجة LOG AUTH من خلال syslog-ng-lockout.conf إلى وجهة برنامج syslog-ng التي تغذي lockout handler. تعامل معالجة readline() للمستهلك الجزء المحقون كحدث مصادقة منفصل وتختار أول عنوان IP صالح تركيبياً من السطر المزيف. يمكن للمهاجم الذي لديه وصول إلى شبكة صفحة تسجيل الدخول تزييف أحداث فشل لعنوان IP آخر، مما يؤدي إلى إضافته إلى جدول PF الخاص بـ sshlockout وإنهاء حالاته النشطة، أو تزييف أحداث قبول لإعادة تعيين عداد القوة الغاشمة الخاص به. يمكن أن يؤدي ذلك إلى حظر عناوين الإدارة أو DNS أو البوابة أو المراقبة، وتجاوز قفل تخمين كلمة المرور دون مصادقة.

التوصيات التحديث إلى الإصدار 26.1.11.