CVE-2026-46368
Açıklama
OpenWrt topluluk paketleri beslemesi aracılığıyla dağıtılan ve varsayılan olarak yüklü gelmeyen, https-dns-proxy paketi için isteğe bağlı bir LuCI web kullanıcı arayüzü eklentisi olan luci-app-https-dns-proxy'nin 2025.12.29-5 dahil tüm sürümleri, setInitAction fonksiyonunda bir komut enjeksiyonu zafiyeti içermektedir. luci.https-dns-proxy ACL iznine sahip kimliği doğrulanmış bir kullanıcı, luci.https-dns-proxy setInitAction'a yapılan bir ubus RPC çağrısının 'name' parametresi üzerinden kabuk meta karakterleri enjekte edebilir; bu durum, alttaki cihazda root yetkileriyle rastgele komut çalıştırılmasına yol açar. Çekirdek OpenWrt etkilenmemiştir; yalnızca luci-app-https-dns-proxy paketini yüklemeyi seçen kurulumlar savunmasızdır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| mossdef-org luci-app-https-dns-proxy | v ≤ 2025.12.29-5 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.