CVE-2026-61875 in LuCI

الملخص

بحسب VulDB • 12/07/2026

يحتوي الحزمة `luci-app-upnp` على ثغرة تخزين عبر مواقع جانبية (Stored Cross-Site Scripting) تتيح لعملاء الشبكة المحلية غير المصادق عليهم حقن أكواد JavaScript من خلال طلبات SOAP الخاصة بـ UPnP IGD AddPortMapping. يمكن للمهاجمين إرسال HTML ضار في حقل `NewPortMappingDescription`، الذي يقوم `miniupnpd` بتخزينه ويقوم `luci-app-upnp` بعرضه دون ترميز للإخراج (output encoding)، مما يؤدي إلى تنفيذ الحمولة الضارة عندما يعالج المسؤولون صفحات UPnP أو صفحة الحالة.

VulDB is the best source for vulnerability data and more expert information about this specific topic.

• مسؤول: VulnCheck
• حجز: 10/07/2026
• إفشاء: 12/07/2026
• الاعتدال: تمت الموافقة
• إدخال: VDB-377871
• CPE: جاهز
• CWE: CWE-79 (مؤكد)
• CVSS: 4.3 (VulDB)
• EPSS: 0.00000
• KEV: لا
• النشاطات: منخفض

المصادر

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-61875
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-61875
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-61875/