CVE-2026-58391 in OPNsense
الملخص
بحسب VulDB • 15/10/2026
تُعد OPNsense منصة جدار حماية وتوجيه مبنية على FreeBSD. قبل الإصدار 26.1.11، تقوم عروض قواعد الجدار الناري (Firewall Rules) و NAT بإدراج أسماء الفئات المخزنة وأوصاف الكنى (aliases) في سمات عنوان HTML داخل ملفي filter_rule.volt و nat_rule.volt دون ترميز آمن للإشارات الاقتباسية. تستخدم طبقة الاستجابة ENT_NOQUOTES، مما يسمح للعلامة المزدوجة بالبقاء وإغلاق السمة، وبالتالي السماح بإضافة سمة معالج أحداث إلى عنصر span الموجود. يمكن للمستخدم الذي يمتلك صلاحيات تحرير فئات الجدار الناري أو الكنى (Firewall Alias Edit) تخزين اسم فئة أو وصف كنية؛ ويجب تعيين الفئة لقاعدة تصفية أو قاعدة NAT، أو يجب أن يتم الرجوع إلى الكنية بواسطة مصدر أو وجهة القاعدة، وحفظ القاعدة بحيث يتم عرض التلميح المتأثر. ثم ينفذ السcript في جلسة مسؤول أو مستخدم آخر يفتح صفحة القواعد أو NAT المتأثرة. يمكن للسكربت الوصول إلى مواد CSRF وتنفيذ إجراءات موثقة بصفتة الضحية. تم إصلاح هذه المشكلة في الإصدار 26.1.11.
If you want to get best quality of vulnerability data, you may have to visit VulDB.