CVE-2026-68583

ŚrednieCVSS 5.4

Opublikowano: 02/08/2026(UTC)Zaktualizowano: 23/10/2026(UTC)Przetłumaczono: 02/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.24%

Percentyl 14 - wyżej niż 14% wszystkich znanych CVE

Streszczenie

Wtyczka luci-app-adblock-fast przed wersją 1.2.4-4 zawiera podatność na trwałe XSS w polu nazwy listy blokad. Użytkownicy z niższymi uprawnieniami mogą wstrzyknąć aktywny kod HTML, który wykonuje się w przeglądarce administratora podczas przeglądania strony statusu AdBlock Fast, działając w kontekście pochodzenia LuCI.

Ocena ryzyka

Atakujący z niższymi uprawnieniami może wykonać dowolny kod JavaScript w przeglądarce administratora, co może prowadzić do kradzieży sesji, modyfikacji ustawień lub dalszej eskalacji uprawnień.

Rekomendacja

Zaktualizuj luci-app-adblock-fast do wersji 1.2.4-4 lub nowszej. Ogranicz dostęp do panelu administracyjnego LuCI tylko dla zaufanych użytkowników.

Inne podatności w luci-app-adblock-fast

CVE-2026-55159Wysokie
Aplikacja luci-app-adblock-fast dla OpenWrt przed wersją 1.2.4-2 pozwalała metodzie RPC luci.adblock-fast.setCronEntry przyjąć argument zawierający znaki powrotu karetki lub nowej linii i zapisać go w /etc/crontabs/root jako jedną linię logiczną. Uwierzytelniony delegowany użytkownik z ACL zapisu mógł utworzyć dodatkowy wpis cron roota, co prowadziło do trwałego wykonania poleceń jako UID 0.

Oryginalny opis (angielski, źródło NVD)

luci-app-adblock-fast before 1.2.4-4 contains a stored cross-site scripting vulnerability in the blocklist name field that allows lower-privileged users to inject active HTML. When an administrator views the AdBlock Fast status page, the injected payload executes in the administrator's browser under the LuCI origin.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS