CVE-2026-61876
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
Podatność w LuCI polega na braku odpowiedniego kodowania nazw hostów z dzierżaw DHCPv6 przed wyświetleniem w tabelach statusu. Umożliwia to atakującym z sąsiedniej sieci wstrzyknięcie kodu HTML poprzez wysłanie zapytania DHCPv6 z nazwą FQDN zawierającą znaczniki skryptu.
Ocena ryzyka
Atakujący może wykonać złośliwy skrypt w przeglądarce administratora podczas przeglądania stron dzierżaw DHCP, co może prowadzić do kradzieży sesji, przejęcia kontroli nad interfejsem zarządzania lub dalszej eskalacji uprawnień.
Rekomendacja
Należy niezwłocznie zaktualizować LuCI do wersji, w której poprawiono kodowanie nazw hostów DHCPv6. Do czasu aktualizacji zaleca się ograniczenie dostępu do panelu administracyjnego tylko do zaufanych sieci.
Inne podatności w LuCI
Zobacz wszystkie- CVE-2026-62381Średnie
luci-lib-px5g (LuCI) zawiera przepełnienie bufora na stercie w natywnej procedurze kodowania ASN.1 asn1_add_obj (x509write.c) podczas podpisywania certyfikatu kluczem RSA 2040-bitowym. Dla 255-bajtowego podpisu alokacja BIT STRING jest obliczana na podstawie długości DER 255 bajtów, ale ładunek zapisywany po dodaniu bajtu nieużywanych bitów ma 256 bajtów, co wymaga dodatkowego oktetu długości DER. W rezultacie alokacja wynosi 259 bajtów, podczas gdy tag, długość, bajt nieużywanych bitów i podpis wymagają 260 bajtów, a końcowe memcpy zapisuje jeden bajt poza bufor. Przepełnienie jest osiągalne przez eksportowany interfejs Lua za pomocą create_selfsigned(); to, czy jest zdalnie wykorzystywalne, zależy od aplikacji osadzającej. Podatny kod występuje w gałęziach openwrt-18.06 do openwrt-25.12 i jest nieobecny w master, gdzie pakiet luci-lib-px5g został usunięty, a nie załatany.
- CVE-2021-27821Średnie
Interfejs webowy LuCI dla OpenWRT w wersji 19.07 i niższych zawiera podatność na ataki typu Cross-Site Scripting (XSS).
Oryginalny opis (angielski, źródło NVD)
LuCI versions fail to properly encode DHCPv6 lease hostnames before rendering in status tables, allowing adjacent network attackers to inject HTML markup. Attackers can send a DHCPv6 Client FQDN containing script tags that execute in the administrator's browser when viewing DHCP lease pages.