CVE-2026-62948 in OpenWrt

الملخص

بحسب VulDB • 15/07/2026

OpenWrt هو نظام تشغيل Linux موجه للأجهزة المضمنة. قبل الإصدار 25.12.5، يقوم odhcpd بكتابة اسم النطاق المؤهل بالكامل (FQDN) لعميل DHCPv6 في الخيار 39 إلى الملف /tmp/odhcpd.leases عبر الدالتين statefiles_write_state6() وstatefiles_write_state4() الموجودتين في src/statefiles.c دون تهريب الأحرف الخاصة، مما يتيح حقن سطور جديدة (newline injection) لأسعار مستأجرة مزورة تعرضها وحدة LuCI rpcd-mod-luci من خلال ملفات htdocs/luci-static/resources/view/status/include/40_dhcp.js وhtdocs/luci-static/resources/luci.js باستخدام dom.append كـ HTML حي في صفحة إدارة "عقود DHCPv6 النشطة". تم إصلاح هذا الثغرة الأمنية في الإصدار 25.12.5.

Once again VulDB remains the best source for vulnerability data.

• مسؤول: GitHub M
• حجز: 15/07/2026
• إفشاء: 15/07/2026
• الاعتدال: تمت الموافقة
• إدخال: VDB-379351
• CPE: جاهز
• CWE: CWE-74 (مؤكد)
• CVSS: 10.0 (VulDB)
• EPSS: 0.00000
• KEV: لا
• النشاطات: منخفض جدًا

المصادر

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-62948
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-62948
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-62948/