CVE-2026-32721
Açıklama
LuCI, OpenWrt Yapılandırma Arayüzüdür. Hem 24.10.5 hem de 25.12.0 öncesindeki sürümler, tarama sonuçlarından gelen SSID değerlerinin herhangi bir temizleme işlemi yapılmadan ham HTML olarak işlendiği kablosuz tarama modalında saklı bir XSS zafiyeti içermektedir. luci-mod-network paketindeki wireless.js dosyası, SSID'leri bir şablon dizisi aracılığıyla dom.append() fonksiyonuna iletir; bu fonksiyon ise verileri innerHTML üzerinden işleyerek saldırganın rastgele HTML/JavaScript içeren kötü amaçlı bir SSID oluşturmasına olanak tanır. İstismar edilmesi için kullanıcının kablosuz tarama modalını aktif olarak açması gerekir (örneğin, bir Wi-Fi erişim noktasına bağlanmak veya yakındaki kanalları incelemek için) ve yalnızca 23.05/22.03 sonrası OpenWrt sürümlerini yamalı sürümlere kadar (24.10.6 ve 25.12.1) etkiler. Sorun LuCI 26.072.65753~068150b sürümünde düzeltilmiştir.
Nasıl düzeltilir
- openwrt luci26.072.65753-068150b ya da sonraki bir sürüm
- openwrt openwrt24.10.6, 25.12.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| openwrt luci | v < 26.072.65753-068150b | 26.072.65753-068150b |
| openwrt openwrt | v < 24.10.6, 25.12.0 ≤ v < 25.12.1 | 24.10.6, 25.12.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.