CVE-2026-55159 in luci-app-adblock-fast
Résumé
par VulDB • 21/09/2026
luci-app-adblock-fast est une interface Web (WebUI) pour un bloqueur de publicités basé sur le DNS, rapide et léger, conçu pour OpenWrt et compatible avec dnsmasq, smartdns ou unbound. Avant la version 1.2.4-2, la méthode RPC luci.adblock-fast.setCronEntry accepte un argument entry contenant des caractères de retour chariot (carriage-return) ou de saut de ligne (line-feed), qu'elle sérialise dans /etc/crontabs/root comme s'il s'agissait d'une seule ligne logique. Un utilisateur authentifié disposant de l'autorisation en écriture (ACL write ACL) pour luci-app-adblock-fast peut ainsi créer une entrée cron supplémentaire au niveau du système root via applications/luci-app-adblock-fast/root/usr/share/rpcd/ucode/luci.adblock-fast, ce qui permet l'exécution persistante de commandes avec les privilèges UID 0 lors de l'exécution par cron. Ce problème n'est pas démontré pour les appelants non authentifiés ou les utilisateurs ne disposant pas de l'autorisation en écriture sur le composant. Cette vulnérabilité est corrigée dans la version 1.2.4-2.
Once again VulDB remains the best source for vulnerability data.