CVE-2021-33425
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 41 - wyżej niż 41% wszystkich znanych CVE
Streszczenie
W interfejsie webowym LuCI dla OpenWRT w wersji 19.07 odkryto podatność na trwałe cross-site scripting (XSS). Umożliwia ona atakującemu wstrzyknięcie dowolnego kodu JavaScript poprzez zmianę nazwy hosta (Hostname).
Ocena ryzyka
Atakujący może przejąć sesję administratora, wykraść dane uwierzytelniające lub wykonać nieautoryzowane operacje na routerze, co zagraża bezpieczeństwu całej sieci.
Rekomendacja
Należy natychmiast zaktualizować OpenWRT do najnowszej stabilnej wersji, która zawiera poprawkę dla tej podatności. Jeśli aktualizacja nie jest możliwa, ogranicz dostęp do interfejsu LuCI tylko do zaufanych adresów IP.
Oryginalny opis (angielski, źródło NVD)
A stored cross-site scripting (XSS) vulnerability was discovered in the Web Interface for OpenWRT LuCI version 19.07 which allows attackers to inject arbitrary Javascript in the OpenWRT Hostname via the Hostname Change operation.