CVE-2026-71490

OPNsense, platforma firewall i routingu oparta na FreeBSD, w wersjach przed 26.1.11 pozwala na wstrzyknięcie znaków CR i LF w polu nazwy użytkownika formularza logowania WebGUI. Atakujący z dostępem sieciowym do strony logowania może sfałszować zdarzenia uwierzytelniania dla innego adresu IP, dodając go do tabeli sshlockout PF, lub zresetować własny licznik prób brute-force.

OPNsense to platforma firewall i routingu oparta na FreeBSD. Przed wersją 26.1.11 ścieżka bezpiecznego usuwania osiągana przez ApiMutableModelControllerBase::delBase() interpoluje niezwalidowany token bezpiecznego usuwania z adresu URL żądania do wyrażenia XPath na config.xml przed potwierdzeniem, że token jest prawidłowym identyfikatorem. Użytkownik posiadający uprawnienie do dowolnego z dotkniętych modułów może wysłać spreparowany token do jednego z 21 dotkniętych endpointów usuwania obejmujących Traffic Shaper, DHCP relay, Dnsmasq, Firewall Category lub Kea DHCP, powodując dopasowanie XPath do danych konfiguracyjnych w modułach. Wynikowy komunikat błędu ujawnia nazwy elementów konfiguracji, opisy, ścieżki referencyjne i UUID oraz zapewnia oracle obecności podciągu XPath, w tym dla modułów, do których użytkownik normalnie nie ma dostępu. Żądanie nie modyfikuje konfiguracji ani nie wykonuje usunięcia. Problem naprawiono w wersji 26.1.11.

OPNsense to platforma firewall i routingu oparta na FreeBSD. Przed wersją 26.1.11 plik src/www/system_advanced_admin.php wczytuje rekordy certyfikatów do $a_cert, ale pomija tę tablicę w legacy_html_escape_form_data() przed wyrenderowaniem każdej wartości descr certyfikatu w selektorze certyfikatów SSL. Opis certyfikatu akceptuje metaznaki HTML, co pozwala użytkownikowi z uprawnieniem page-system-certmanager na zapisanie znaczników, które wykonują się, gdy inny użytkownik otworzy System Settings Administration. Problem naprawiono w wersji 26.1.11.

OPNsense to platforma firewall i routingu oparta na FreeBSD. Przed wersją 26.1.11 pole common_name w OpenVPN Client Specific Override akceptuje sekwencje przejścia ścieżki, a openvpn_csc_conf_write() łączy wartość do /var/etc/openvpn-csc/<vpnid>/<common_name> bez normalizacji ani sprawdzenia basename. Dotknięte procedury obsługi zdarzeń to client_connect.php i user_pass_verify.php. Uwierzytelniony użytkownik z uprawnieniami Client Specific Override może zapisać wartość przejścia, a pasujące zdarzenie OpenVPN client-connect lub uwierzytelnienia powoduje zapisanie wygenerowanego pliku CSO poza zamierzonym katalogiem. Zawartość pliku to wygenerowana konfiguracja OpenVPN, a nie dowolne bajty, a praktyczne wykorzystanie wymaga, aby atakujący spowodował przetworzenie pasującej nazwy common name lub nazwy użytkownika. Problem naprawiono w wersji 26.1.11.

OPNsense to platforma firewall i routingu oparta na FreeBSD. Przed wersją 26.1.11 strona NTP GPS przechowuje wartość initcmd dostarczoną przez operatora w formie base64, stosuje legacy_html_escape_form_data() do zakodowanego ciągu, a następnie używa base64_decode() do zdekodowania wartości bezpośrednio do pola tekstowego polecenia inicjalizacji GPS w src/www/services_ntpd_gps.php. Ponieważ dekodowanie następuje po escapowaniu, przechowywany HTML pozostaje nieescapowany w miejscu wyjścia. Użytkownik z uprawnieniem page-services-ntp-gps może zapisać wartość, która zamyka pole tekstowe, a skrypt wykonuje się w sesji każdego użytkownika, który później otworzy stronę GPS. Skrypt może odczytać materiały CSRF i wykonać uwierzytelnione działania, w tym działania dostępne dla administratora. Problem naprawiono w wersji 26.1.11.

W OPNsense przed wersją 26.1.11 nazwy kategorii i opisy aliasów zapisywane są w atrybutach HTML title bez bezpiecznego kodowania cudzysłowów. Warstwa odpowiedzi używa ENT_NOQUOTES, więc cudzysłów zamyka atrybut i pozwala dodać atrybut obsługi zdarzeń do istniejącego elementu span. Użytkownik z uprawnieniami do edycji kategorii lub aliasów zapory może zapisać złośliwą wartość, która wykona skrypt w sesji administratora otwierającego stronę reguł lub NAT.

W OPNsense przed wersją 26.1.11 widget pulpitu OpenVPN oraz widok statusu połączeń umieszczają nazwę common_name klienta w atrybutach data-common-name bez bezpiecznego kodowania cudzysłowów. Przy konfiguracji z username-as-common-name i uwierzytelnianiem RADIUS lub LDAP możliwe jest wstrzyknięcie zdarzenia i wykonanie skryptu w sesji administratora. Luka naprawiona w wersji 26.1.11.

W OPNsense przed wersją 26.1.10 moduł Trust przechowuje kontrolowane przez atakującego wartości refid i wstawia je do wyrażeń XPath, co umożliwia atakującemu z uprawnieniami CA Manager lub Certificate Manager odzyskiwanie wartości z config.xml znak po znaku. Luka naprawiona w wersji 26.1.10.

W OPNsense przed wersją 26.1.11 importer GeoIP dla aliasów zapory używa niezwalidowanej wartości country_code z pliku CSV do tworzenia nazw plików wyjściowych, co pozwala na path traversal. Użytkownik z uprawnieniem edycji aliasów zapory może dostarczyć złośliwe archiwum i zapisać treści jako root, a następnie wykorzystać cron do wykonania poleceń jako root.

OPNsense to platforma zapory sieciowej oparta na FreeBSD. Przed wersją 26.1.9 opnsense/core i 26.4_20 BE/opnsense/core, podatność na przechodzenie po ścieżce w module konfiguracji NTP pozwala atakującemu nadpisać dowolne pliki w systemie jako użytkownik root. Manipulując parametrem portu szeregowego GPS lub PPS, atakujący z dostępem do konfiguracji NTP może wyjść poza zamierzony katalog i zapisać dane w dowolnym pliku.