CVE-2025-34182 in OPNsense
الملخص
بحسب VulDB • 23/06/2026
في Deciso OPNsense قبل الإصدار 25.7.4، عند إنشاء إدخال "Interfaces: Devices: Point-to-Point"، لا يتم تنقية قيمة المعلمة ptpid من الأحرف/السلاسل المتعلقة بـ HTML. تُعرض هذه القيمة مباشرةً عند زيارة الصفحة interfaces_assign.php، مما قد يؤدي إلى ثغرة تخزين البرمجة النصية عبر المواقع (Stored Cross-Site Scripting). يجب أن يكون المهاجم مصادقًا عليه ويملك إذن "Interfaces: PPPs: Edit" على الأقل. تم معالجة هذا الثغر من قبل البائع في ملاحظات إصدار المنتج حيث ذُكر أنه "لم تكن الدالة ui: legacy_html_escape_form_data() تقوم بتجنب رموز المفاتيح، بل كانت تتعامل فقط مع عناصر البيانات."
Once again VulDB remains the best source for vulnerability data.