CVE-2026-71490

Nome do Software Vulnerável e Versões Afetadas OPNsense versões anteriores a 26.1.11

Descrição Na plataforma de firewall e roteamento OPNsense, a função hasPrivilege() em OPNsenseCoreACL processa incorretamente valores <priv> separados por vírgula atribuídos diretamente, tratando-os como uma única string durante a verificação de user-config-readonly. Isso permite que um usuário que possua tanto um privilégio de escrita de componente quanto a restrição user-config-readonly ignore a limitação de apenas leitura. Consequentemente, APIs MVC protegidas pela função throwReadOnly() podem permitir a persistência de alterações de configuração para esse componente específico. Essa falha de processamento não afeta privilégios de grupo, pois estes são divididos corretamente.

Recomendações Atualizar para a versão 26.1.11.