PT-2026-43259 · Openwrt · Luci-App-Https-Dns-Proxy

Ahmet Mersin · Publicado 2026-05-26 · Atualizado 2026-05-26 · CVE-2026-46368

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas luci-app-https-dns-proxy versões anteriores a 2025.12.29-5

Description Um usuário autenticado com a permissão ACL luci.https-dns-proxy pode executar comandos arbitrários como root no dispositivo subjacente. Isso ocorre por meio de uma injeção de comando na função setInitAction(), onde metacaracteres de shell podem ser injetados através do parâmetro name de uma chamada ubus RPC para 'luci.https-dns-proxy setInitAction'. Este problema afeta o add-on opcional de interface web LuCI para o pacote https-dns-proxy distribuído através do feed de pacotes da comunidade OpenWrt; o núcleo do OpenWrt não é afetado.

Recommendations Atualize para uma versão posterior a 2025.12.29-5. Como medida paliativa temporária, restrinja o acesso à função setInitAction() ou ao parâmetro name na chamada ubus RPC 'luci.https-dns-proxy setInitAction'.

Exploit

Correção

Command Injection

Enumeração de Fraquezas

CWE-77

Identificadores relacionados

CVE-2026-46368

Produtos afetados

Luci-App-Https-Dns-Proxy

Referências · 5

• 🔥 https://exploit-db.com/exploits/52521 · Exploit
• https://github.com/stangri/luci-app-https-dns-proxy · Nota
• https://vulncheck.com/advisories/luci-app-https-dns-proxy-authenticated-command-injection-via-setinitaction · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-46368 · Nota de Segurança
• https://t.me/CVEtracker/54994 · Publicação no Telegram