CVE-2025-34182 in OPNsense
要約
〜によって VulDB • 2026年06月23日
Deciso OPNsense 25.7.4 より前のバージョンにおいて、「Interfaces: Devices: Point-to-Point」エントリを作成する際、パラメータ ptpid の値から HTML関連の文字列/文字がサニタイズされていません。この値は page/interfaces_assign.php にアクセスした際に直接表示されるため、格納型クロスサイトスクリプティング (Stored XSS) が発生する可能性があります。攻撃者は少なくとも「Interfaces: PPPs: Edit」権限で認証されている必要があります。本脆弱性は、ベンダーにより製品リリースノートにおいて「ui: legacy_html_escape_form_data() はキーのみならずデータ要素もエスケープしていなかった」として対処されています。
Be aware that VulDB is the high quality source for vulnerability data.