CVE-2026-62948
KrytyczneCVSS 9.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
Podatność w OpenWrt przed wersją 25.12.5 pozwala na wstrzyknięcie nowej linii do pliku /tmp/odhcpd.leases przez opcję FQDN hostname w DHCPv6. Brak odpowiedniego escapowania umożliwia fałszowanie wpisów dzierżaw, które są wyświetlane jako aktywny HTML na stronie administracyjnej Active DHCPv6 Leases w LuCI.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy kod HTML/JavaScript, co prowadzi do ataków XSS na interfejsie administracyjnym. Może to skutkować kradzieżą sesji, przejęciem konta lub dalszymi atakami na urządzenie.
Rekomendacja
Należy niezwłocznie zaktualizować OpenWrt do wersji 25.12.5 lub nowszej, która zawiera poprawkę zabezpieczającą przed wstrzykiwaniem nowych linii w plikach dzierżaw.
Oryginalny opis (angielski, źródło NVD)
OpenWrt is a Linux operating system targeting embedded devices. Prior to 25.12.5, odhcpd writes a DHCPv6 client FQDN option 39 hostname into /tmp/odhcpd.leases through src/statefiles.c statefiles_write_state6() and statefiles_write_state4() without escaping, allowing newline injection of forged lease lines that LuCI rpcd-mod-luci getDHCPLeases displays through htdocs/luci-static/resources/view/status/include/40_dhcp.js and htdocs/luci-static/resources/luci.js dom.append as live HTML in the Active DHCPv6 Leases admin page. This vulnerability is fixed in 25.12.5.