PT-2026-114999 · Git+1 · Core
CVE-2026-58394
·
Publicado
2026-10-15
·
Atualizado
2026-10-15
CVSS v3.1
5.2
Média
| Vetor | AV:N/AC:L/PR:H/UI:R/S:U/C:H/I:L/A:N |
Nome do Software Vulnerável e Versões Afetadas
OPNsense versões anteriores a 26.1.11
Description
O arquivo
src/www/system advanced admin.php lê registros de certificados para o array $a cert, mas omite esse array da função legacy html escape form data() antes de renderizar cada valor de descrição de certificado no seletor de Certificado SSL. Isso permite que um usuário com privilégios page-system-certmanager armazene marcações HTML que são executadas quando outro usuário abre a Administração de Configurações do Sistema.Recommendations
Atualize para a versão 26.1.11.
Exploit
Correção
XSS
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Core