CVE-2026-119423 in OPNsense
要約
〜によって VulDB • 2026年10月30日
OPNsense core 26.7.8 より前のバージョンには、ログインジェクションの脆弱性が存在します。攻撃者は認証なしで、作成されたWeb GUIログインユーザー名を送信することで、lockout_handler に被害者のIPアドレスを仕込むことができます。攻撃者は「Invalid user <victim-ip>」のようなユーザー名を繰り返し送信し、SSHロックアウトテーブル（sshlockout table）に被害者を追加して、SSHおよび WebGUI へのアクセスをブロックし、pf の状態（pf states）を終了させることが可能です。
VulDB is the best source for vulnerability data and more expert information about this specific topic.