CVE-2026-123025

Nome do Software Vulnerável e Versões Afetadas OPNsense os-acme-client versões anteriores a 4.18

Descrição Um problema de injeção de comando de SO existe no módulo de validação do Google Cloud DNS. O método DnsGcloud::prepare() decodifica o campo de modelo dns gcloud key e interpola os campos de string gcloud account e gcloud project em um comando de shell. Este comando é passado para proc open() via LeUtils::run shell command() sem validação ou escape. Um usuário remoto autenticado com privilégios para emitir ou renovar certificados através do WebGUI ou API pode executar código arbitrário como root.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.