CVE-2026-30868
Təsvir
OPNsense FreeBSD əsaslı firewall və marşrutlaşdırma platformasıdır. 26.1.4 versiyasından əvvəl çox sayda OPNsense MVC API son nöqtələri (endpoints) vəziyyət dəyişdirən əməliyyatlar yerinə yetirir, lakin onlara CSRF mühafizəsi olmadan HTTP GET sorğuları vasitəsilə daxil olmaq mümkündür. ApiControllerBase-dəki çərçivə CSRF təsdiqləməsi yalnız POST/PUT/DELETE metodlarına tətbiq edilir ki, bu da autentifikasiya olunmuş GET sorğularına CSRF yoxlamasından yan keçməyə imkan verir. Nəticədə, zərərli veb-sayt autentifikasiya olunmuş istifadəçi tərəfindən ziyarət edildikdə, configd vasitəsilə xidmətlərin gözlənilməz şəkildə yenidən yüklənməsinə və konfiqurasiya dəyişikliklərinə səbəb olan imtiyazlı arxa plan hərəkətlərini tetikləyə bilər. Bu, sistem vəziyyətinin icazəsiz dəyişdirilməsinə şərait yaradan autentifikasiya olunmuş Saytlararası Sorğu Saxtakarlığı (CSRF) boşluğuna gətirib çıxarır. Bu boşluq 26.1.4 versiyasında düzəldilmişdir.
Necə düzəltmək olar
- opnsense opnsense26.1.4 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| opnsense opnsense | v < 26.1.4 | 26.1.4 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.