„`html
Zusammenfassung
CVE-2026-61875 beschreibt eine Stored Cross-Site Scripting (XSS) Schwachstelle in luci-app-upnp. Die Vulnerabilität ermöglicht es unauthentifizierten Clients im lokalen Netzwerk, JavaScript-Payloads über UPnP IGD AddPortMapping SOAP-Anfragen einzuschleusen. Die gespeicherten Skripte werden ohne Output-Encoding ausgeführt, wenn Administratoren die UPnP- oder Status-Seiten aufrufen.
Betroffene Systeme
Die Schwachstelle betrifft verschiedene Systeme mit luci-app-upnp und miniupnpd, insbesondere OpenWrt-basierte Router und ähnliche Netzwerkgeräte mit UPnP-UnterstĂĽtzung. Das Angriffsvektor „Adjacent_Network“ deutet auf Anfälligkeit gegenĂĽber lokalen Netzwerk-Angriffen hin.
Technische Details
Der Angriff nutzt die UPnP IGD (Internet Gateway Device) Schnittstelle, spezifisch die AddPortMapping SOAP-Methode. Angreifer injizieren malicious HTML oder JavaScript in das Feld „NewPortMappingDescription“, das von miniupnpd gespeichert wird. Luci-app-upnp rendert diese Beschreibung ohne ausreichende Input-Validierung oder Output-Encoding. Dies fĂĽhrt zu persistenter XSS-AusfĂĽhrung im Administrationsinterface.
Empfohlene Massnahmen
- Sofortige Isolierung: Betroffene Systeme vom öffentlichen Internet trennen und LAN-Zugriff beschränken
- Input-Validierung: Strikte Validierung aller UPnP-Eingaben implementieren
- Output-Encoding: Alle Benutzerdaten in der Web-UI mit HTML-Escaping versehen
- UPnP deaktivieren: Falls nicht benötigt, UPnP-Dienste abschalten
- Firewall-Regeln: UPnP Port 1900 (UDP) auf Trusted-IPs limitieren
- Updates ĂĽberwachen: Auf offizielle Patches warten
Bewertung
Mit CVSS 8.8 (High) und fehlender Patch-Verfügbarkeit stellt diese Vulnerabilität ein erhebliches Sicherheitsrisiko dar. Die Kombinationaus gespeichertem XSS und admininstrativen Funktionen ermöglicht Sessionübernahme und Gerätekompromittierung. Eine baldige Patch-Verfügbarkeit ist kritisch erforderlich.
„`