CVE-2026-49132
Açıklama
26.1.9 öncesindeki OPNsense, kimliği doğrulanmış saldırganların trust certificate API aracılığıyla sertifika açıklama alanına payload'lar yerleştirerek rastgele HTML veya JavaScript enjekte etmesine olanak tanıyan bir saklı siteler arası betik çalıştırma (XSS) zafiyeti içermektedir. Temizlenmemiş açıklama değeri kalıcı hale getirilir ve daha sonra Certificates.js üzerinden Dashboard Certificates widget'ında işlenir; bu işlem sırasında ham değer, kodlama yapılmadan HTML öznitelik ve metin içeriği sink'lerine eklenir. Bu durum, enjekte edilen betiklerin Dashboard'u görüntüleyen herhangi bir kimliği doğrulanmış kullanıcının tarayıcısında çalışmasına neden olarak oturum çalma veya kimlik bilgisi hırsızlığına imkan tanır.
Nasıl düzeltilir
- Deciso B.V. OPNsense26.1.9 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Deciso B.V. OPNsense | v < 26.1.9 | 26.1.9 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.