CVE-2025-34315

IPFire'ın 2.29 (Core Update 198) öncesindeki sürümleri, kimliği doğrulanmış bir saldırganın uzak syslog sunucusu adresini güncellerken REMOTELOG_ADDR parametresi aracılığıyla rastgele JavaScript kodu enjekte etmesine olanak tanıyan saklı bir siteler arası betik çalıştırma (XSS) zafiyeti içermektedir. Bir kullanıcı Uzak günlükleme Syslog sunucusunu güncellediğinde, uygulama /cgi-bin/logs.cgi/config.dat adresine bir HTTP POST isteği gönderir ve sunucu adresi REMOTELOG_ADDR parametresinde sağlanır. Bu parametrenin değeri kaydedilir ve daha sonra uygun temizleme veya kodlama yapılmadan web arayüzünde işlenir; bu durum, enjekte edilen betiklerin etkilenen yapılandırma sayfasını görüntüleyen diğer kullanıcıların bağlamında çalıştırılmasına izin verir.