CVE-2026-49131
Açıklama
OPNsense 26.1.9 öncesi sürümlerinde, güvenlik duvarı kuralı yönetimi ayrıcalıklarına sahip kimliği doğrulanmış saldırganların filter API uç noktası aracılığıyla güvenlik duvarı kuralı açıklama alanına yükler gömerek rastgele HTML veya JavaScript enjekte etmesine olanak tanıyan bir kalıcı siteler arası betik çalıştırma (XSS) güvenlik açığı bulunmaktadır. Temizlenmemiş açıklama değeri kalıcı hale getirilir ve daha sonra opnsense_bootgrid.js içindeki varsayılan hücre biçimlendiricisi aracılığıyla işlenir; bu biçimlendirici ham hücre içeriğini innerHTML'ye atar ve enjekte edilen betiklerin Firewall Rules sayfasını görüntüleyen herhangi bir kimliği doğrulanmış kullanıcının tarayıcısında çalışmasına neden olarak oturum ele geçirme veya kimlik bilgisi hırsızlığına olanak tanır.
Nasıl düzeltilir
- Deciso B.V. OPNsense26.1.9 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Deciso B.V. OPNsense | v < 26.1.9 | 26.1.9 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.