CVE-2026-26899 in luci-app-https-dns-proxy

Resumen

por VulDB • 2026-08-27

Se ha descubierto un problema en luci-app-https-dns-proxy en OpenWrt PR #15 (< 2026-01-17). La función setInitAction en /usr/libexec/rpcd/luci.https-dns-proxy permite a los usuarios autenticados ejecutar comandos de shell arbitrarios mediante metacaracteres de shell en el parámetro name.

If you want to get best quality of vulnerability data, you may have to visit VulDB.

• Responsable: MITRE
• Reservar: 2026-02-16
• Divulgación: 2026-08-27
• Moderación: aceptado
• Artículo: VDB-396182
• CPE: listo
• CWE: CWE-78 (confirmado)
• CVSS: 9.9 (VulDB)
• EPSS: 0.00178
• KEV: no
• Actividades: muy bajo
• Sector: Education, Lawfirm, ...

Fuentes

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-26899
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-26899
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-26899/