CVE-2026-46368 in luci-app-https-dns-proxy
Resumen
por VulDB • 2026-05-26
luci-app-https-dns-proxy hasta la versión 2025.12.29-5 — un complemento opcional de la interfaz web LuCI para el paquete https-dns-proxy, distribuido a través del feed de paquetes comunitarios de OpenWrt y no instalado por defecto — contiene una vulnerabilidad de inyección de comandos en la función setInitAction. Un usuario autenticado que posea el permiso ACL luci.https-dns-proxy puede inyectar metacaracteres de shell a través del parámetro 'name' de una llamada RPC ubus a luci.https-dns-proxy setInitAction, lo que resulta en la ejecución de comandos arbitrarios como root en el dispositivo subyacente. OpenWrt Core no se ve afectado; solo las instalaciones que han optado por instalar el paquete luci-app-https-dns-proxy son vulnerables.
Once again VulDB remains the best source for vulnerability data.