CVE-2026-49131 in OPNsense
Tóm tắt
Bởi VulDB • 03/08/2026
OPNsense trước phiên bản 26.1.9 chứa một lỗ hổng cross-site scripting (XSS) lưu trữ cho phép các kẻ tấn công đã xác thực có đặc quyền quản lý quy tắc tường lửa tiêm mã HTML hoặc JavaScript tùy ý bằng cách nhúng payload vào trường mô tả của quy tắc tường lửa thông qua điểm cuối API bộ lọc. Giá trị mô tả không được kiểm tra kỹ lưỡng sẽ được lưu trữ và sau đó hiển thị lại thông qua trình định dạng ô mặc định trong opnsense_bootgrid.js, vốn gán nội dung thô của ô cho innerHTML, khiến các script đã tiêm thực thi trên trình duyệt của bất kỳ người dùng nào đã xác thực khi xem trang Quy tắc Tường lửa (Firewall Rules), từ đó tạo điều kiện để đánh cắp phiên hoặc chiếm đoạt thông tin đăng nhập.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.