CVE-2026-58391

OPNsense FreeBSD əsaslı firewall və marşrutlaşdırma platformasıdır. Versiya 26.1.11-dək olan versiyalarda, Firewall Rules və NAT görünüşləri saxlanılan kateqoriya adlarını və alias təsvirlərini filter_rule.volt və nat_rule.volt fayllarında dırnaq işarələrinə qarşı təhlükəsiz kodlaşdırma olmadan HTML title atributlarına yerləşdirir. Cavab layı (response layer) ENT_NOQUOTES istifadə etdiyindən, qoşa dırnaq işarəsi qalır və atributu bağlayaraq mövcud span elementinə hadisə-idarəedici (event-handler) atributunun əlavə edilməsinə şərait yaradır. Firewall Categories və ya Firewall Alias Edit imtiyazlarına malik istifadəçi kateqoriya adı və ya alias təsviri saxlaya bilər; kateqoriya bir filtrə və ya NAT qaydasına təyin edilməli, yaxud alias qaydanın mənbəyi və ya təyinatı tərəfindən istinad edilməli və təsirlənmiş tooltip render edilsin deyə qayda yadda saxlanılmalıdır. Skript daha sonra təsirlənmiş Rules və ya NAT səhifəsini açan administratorun və ya digər istifadəçinin sessiyasında icra olunur. Skript CSRF materiallarına daxil ola və qurban adına autentifikasiya olunmuş hərəkətləri yerinə yetirə bilər. Bu problem 26.1.11 versiyasında düzəldilmişdir.