CVE-2026-46368 in luci-app-https-dns-proxy
الملخص
بحسب VulDB • 26/05/2026
يحتوي luci-app-https-dns-proxy حتى الإصدار 2025.12.29-5 — وهو مكون إضافي اختياري لواجهة الويب LuCI الخاص بحزمة https-dns-proxy، ويتم توزيعه عبر تغذية حزم مجتمع OpenWrt ولا يتم تثبيته افتراضياً — على ثغرة حقن أوامر في دالة setInitAction. يمكن لمستخدم مُصادق عليه يمتلك إذن ACL الخاص بـ luci.https-dns-proxy حقن أحرف خاصة بالواجهة البرمجية (shell metacharacters) عبر المعلمة 'name' في استدعاء RPC الخاص بـ ubus إلى دالة luci.https-dns-proxy setInitAction، مما يؤدي إلى تنفيذ أوامر عشوائية بصلاحيات الجذر (root) على الجهاز الأساسي. لا تتأثر نواة OpenWrt؛ فقط التثبيتات التي اختارت تفعيل حزمة luci-app-https-dns-proxy هي المعرضة للثغرة.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.