CVE-2026-58391

Nome do Software Vulnerável e Versões Afetadas OPNsense versões anteriores a 26.1.11

Description As visualizações de Regras de Firewall e NAT não aplicam codificação segura de aspas a nomes de categorias e descrições de aliases armazenados nos arquivos filter rule.volt e nat rule.volt. Como a camada de resposta utiliza ENT NOQUOTES, as aspas duplas não são escapadas, permitindo que um invasor feche o atributo de título HTML e injete um atributo de manipulador de eventos no elemento span. Um usuário com privilégios de Edição de Categorias de Firewall ou Alias de Firewall pode disparar isso armazenando um nome de categoria ou descrição de alias maliciosa e atribuindo-a a uma regra de filtro ou NAT. Quando um administrador ou outro usuário visualiza a página de Regras ou NAT afetada, o script injetado é executado em sua sessão, potencialmente permitindo que o invasor acesse material de Cross-Site Request Forgery (CSRF)—uma técnica usada para enganar um usuário para executar ações indesejadas—e realize ações autenticadas como a vítima.

Recommendations Atualizar para a versão 26.1.11.