CVE-2026-46368
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 93 - wyżej niż 93% wszystkich znanych CVE
Streszczenie
Podatność na wstrzykiwanie poleceń w luci-app-https-dns-proxy dla OpenWrt. Uwierzytelniony użytkownik z odpowiednimi uprawnieniami może wstrzyknąć znaki powłoki przez parametr 'name' w wywołaniu RPC ubus, co prowadzi do wykonania dowolnego polecenia jako root.
Ocena ryzyka
Atakujący z dostępem do panelu LuCI może przejąć pełną kontrolę nad urządzeniem, wykonując dowolne polecenia systemowe.
Rekomendacja
Zaleca się odinstalowanie pakietu luci-app-https-dns-proxy, jeśli nie jest niezbędny, lub zastosowanie dostępnych poprawek bezpieczeństwa.
Oryginalny opis (angielski, źródło NVD)
luci-app-https-dns-proxy through 2025.12.29-5 — an optional LuCI web UI add-on for the https-dns-proxy package, distributed through the OpenWrt community packages feed and not installed by default — contains a command injection vulnerability in the setInitAction function. An authenticated user holding the luci.https-dns-proxy ACL permission can inject shell metacharacters through the 'name' parameter of a ubus RPC call to luci.https-dns-proxy setInitAction, resulting in arbitrary command execution as root on the underlying device. Core OpenWrt is not affected; only installations that have opted in to the luci-app-https-dns-proxy package are vulnerable.