CVE-2025-34308

IPFire'ın 2.29 (Core Update 198) öncesindeki sürümleri, kimliği doğrulanmış bir saldırganın varsayılan zaman senkronizasyon ayarlarını güncellerken UPDATE_VALUE parametresi aracılığıyla rastgele JavaScript kodu enjekte etmesine olanak tanıyan saklı bir siteler arası betik çalıştırma (XSS) zafiyeti içermektedir. Time Server sayfasında görüntülenen varsayılan değerler güncellendiğinde, uygulama /cgi-bin/time.cgi adresine bir HTTP POST isteği gönderir ve senkronizasyon değeri UPDATE_VALUE parametresinde sağlanır. Bu parametrenin değeri saklanır ve daha sonra uygun temizleme veya kodlama yapılmadan web arayüzünde işlenir; bu durum, enjekte edilen betiklerin etkilenen Time Server yapılandırma sayfasını görüntüleyen diğer kullanıcıların bağlamında çalıştırılmasına izin verir.