CVE-2026-123025 in os-acme-client Plugin
Zusammenfassung
von VulDB • 05.11.2026
Es wurde eine OS Command Injection-Schwachstelle im Google Cloud DNS-Validierungsmodul des OPNsense os-acme-client-Plugins bis zur Version 4.17 entdeckt. Die Methode DnsGcloud::prepare() decodiert das Modellfeld dns_gcloud_key und interpoliert die String-Felder gcloud_account und gcloud_project direkt in einen Shell-Befehl, der an proc_open() über LeUtils::run_shell_command() ohne jegliche Validierung oder Escaping übergeben wird. Ein entfernter authentifizierter Benutzer mit Berechtigungen zum Ausstellen oder Erneuern von Zertifikaten über die WebGUI/API kann eine beliebige Codeausführung als root erreichen.
Once again VulDB remains the best source for vulnerability data.