CVE-2026-62948
Publiée le 2026-07-15 · Dernière modification le 2026-07-21
Les routeurs OpenWrt utilisant des versions antérieures à la 25.12.5 sont vulnérables à une attaque de type cross-site scripting (XSS) via le client DHCPv6. Un attaquant distant peut envoyer un nom d'hôte spécialement conçu au routeur, lequel injecte ensuite du code malveillant dans le tableau de bord d'administration LuCI. Si un administrateur consulte la page des baux DHCPv6 actifs (Active DHCPv6 Leases), l'attaquant peut exécuter du code arbitraire dans la session du navigateur de l'administrateur pour voler des données ou modifier les paramètres du routeur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
OpenWrt is a Linux operating system targeting embedded devices. Prior to 25.12.5, odhcpd writes a DHCPv6 client FQDN option 39 hostname into /tmp/odhcpd.leases through src/statefiles.c statefiles_write_state6() and statefiles_write_state4() without escaping, allowing newline injection of forged lease lines that LuCI rpcd-mod-luci getDHCPLeases displays through htdocs/luci-static/resources/view/status/include/40_dhcp.js and htdocs/luci-static/resources/luci.js dom.append as live HTML in the Active DHCPv6 Leases admin page. This vulnerability is fixed in 25.12.5.