JVNDB-2026-024653

OpenWrt ProjectのopenWRTにおける複数の脆弱性

OpenWrtは組み込み機器を対象としたLinuxオペレーティングシステムです。25.12.5以前のバージョンでは、odhcpdがsrc/statefiles.c内のstatefiles_write_state6()およびstatefiles_write_state4()を通じてDHCPv6クライアントのFQDNオプション39のホスト名を/tmp/odhcpd.leasesにエスケープ処理なしで書き込みます。このため、新しい行の注入により偽造されたリース行が作成され、LuCIのrpcd-mod-luciのgetDHCPLeasesがhtdocs/luci-static/resources/view/status/include/40_dhcp.jsおよびhtdocs/luci-static/resources/luci.js内のdom.appendを通じてライブHTMLとして管理画面の「Active DHCPv6 Leases」ページに表示されてしまいます。この脆弱性はバージョン25.12.5で修正されました。

OpenWrt Project

• openWRT 25.12.5 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : odhcpd/LuCI: unauthenticated DHCPv6 client can inject lease-file lines via FQDN hostname → stored XSS in the LuCI admin UI  Advisory  openwrt/openwrt  GitHub

1. 不適切なログ出力の無効化(CWE-117) [その他]
2. エスケープ、メタ、またはコントロールシーケンスの不適切な無効化(CWE-150) [その他]
3. クロスサイトスクリプティング(CWE-79) [その他]

1. CVE-2026-62948

1. National Vulnerability Database (NVD) : CVE-2026-62948
2. 関連文書 : statefiles: escape client hostnames in the lease state file  openwrt/odhcpd@68f3826  GitHub
3. 関連文書 : statefiles: escape client hostnames in the lease state file by hauke  Pull Request #404  openwrt/odhcpd  GitHub
4. 関連文書 : Release v25.12.5  openwrt/openwrt  GitHub
5. 関連文書 : luci-mod-status: escape hostname in DHCP lease status tables  openwrt/luci@55379d0  GitHub

• [2026年07月23日]
    掲載