CVE-2026-49131
mediumPriorität · verfolgen · 0EPSS 0.003 · 21. PerzentilDEEUEPSS · bewertet 2026-10-27
OPNsense before 26.1.9 contains a stored cross-site scripting vulnerability that allows authenticated attackers with firewall rule management privileges to inject arbitrary HTML or JavaScript by embedding payloads in the firewall rule description field via the filter API endpoint. The unsanitized description value is persisted and later rendered through the default cell formatter in opnsense_bootgrid.js, which assigns raw cell content to innerHTML, causing injected scripts to execute in the browser of any authenticated user who views the Firewall Rules page, enabling session hijacking or credential theft.
cvss
Technischer Schweregrad, 0–10. Eine Zeile je Quelle.
Basiswert 0–10 · höher = schwerwiegender · Vektor überfahren zum Auflösen⚠ Quellen uneinig · low–medium · 1.2–5.4
SSVC
Eine Handlungsentscheidung — aus Ausnutzung und Auswirkung.
schwächen
Die CWE-Schwächeklassen, zu denen dies gehört.
betroffene Produkte (3)
Betroffene Produkte und Versionsbereiche.
Advisories (1)
Hersteller- und Ökosystem-Meldungen dazu.
- WID-SEC-W-2026-2635OPNsense: Mehrere Schwachstellen ermöglichen Cross-Site ScriptingDeutsch2026-08-03csaf · cert_bundDE
Ein entfernter, authentisierter Angreifer kann mehrere Schwachstellen in OPNsense ausnutzen, um einen Cross-Site Scripting Angriff durchzuführen.
auch bekannt als (3)
Weitere Namen und Kennungen dieser Entität.
quellen
Welche Quellen diesen Datensatz belegen und wann.
Referenzen (9)
Externe Belege — Patches, Meldungen, Analysen.
- https://docs.opnsense.org/releases/CE_26.1.html#june-02-2026cnnvd
- https://github.com/opnsense/core/commit/b11d6b340716e240868ab19a369e058a46f0876fcnnvd
- https://www.vulncheck.com/advisories/opnsense-stored-xss-via-firewall-rule-description-fieldcnnvd
- https://docs.opnsense.org/releases/CE_26.1.html#june-02-2026enisa_euvd
- https://github.com/opnsense/core/commit/b11d6b340716e240868ab19a369e058a46f0876fenisa_euvd
- https://www.vulncheck.com/advisories/opnsense-stored-xss-via-firewall-rule-description-fieldenisa_euvd
- https://docs.opnsense.org/releases/CE_26.1.html#june-02-2026nvd
- https://github.com/opnsense/core/commit/b11d6b340716e240868ab19a369e058a46f0876fnvd
Angreifer nutzen Schwachstellen wie diese gegen im Internet exponierte Dienste aus. Sehen Sie mit einem kostenlosen Passiv-Scan, was exponiert ist.
Kostenloser Scan