CVE-2026-58392
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
OPNsense to platforma firewall i routing oparta na FreeBSD. Przed wersją 26.1.11 strona GPS NTP przechowuje dostarczoną przez operatora wartość initcmd w formacie base64, stosuje metodę starszej_html_escape_form_data() do zakodowanego ciągu, a następnie używa funkcji base64_decode() do zdekodowania wartości bezpośrednio do obszaru tekstowego poleceń inicjalizacji GPS w src/www/services_ntpd_gps.php. Ponieważ dekodowanie następuje po ucieczce, przechowywany kod HTML pozostaje bez zmiany znaczenia w ujściu wyjściowym. Użytkownik z uprawnieniem page-services-ntp-gps może zapisać wartość zamykającą obszar tekstowy, a skrypt będzie wykonywany w sesji dowolnego użytkownika, który później otworzy stronę GPS. Skrypt potrafi odczytywać materiały CSRF i wykonywać akcje uwierzytelnione, w tym akcje dostępne dla administratora. Ten problem został rozwiązany w wersji 26.1.11.
>_ Słabości (CWE)
>_ Referencje
- https://github.com/opnsense/core/commit/a92d9514b5436c868f8f97138ebed507f6de423c
- https://github.com/opnsense/core/commit/ed04a154dc40967541be1388e9134e451be4199e
- https://github.com/opnsense/core/security/advisories/GHSA-h793-67jm-j4m5
- https://hackerask.com/posts/opnsense
- https://github.com/opnsense/core/security/advisories/GHSA-h793-67jm-j4m5
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org