CVE-2025-57389 - XSS منعكسة في OpenWRT 18.06.2

الوصف

تم تحديد ثغرة أمنية من نوع XSS (البرمجة النصية عبر المواقع) المنعكسة في الإصدار EOL Luci OpenWRT v18.06.2 على نقطة النهاية /cgi-bin/luci/admin/system/packages.

إثبات المفهوم

1. أثناء تمرير حركة المرور عبر Burp، انتقل إلى http://192.168.56.2/cgi-bin/luci/admin/system/packages،
2. اكتب اسم أي حزمة في فلتر، ثم أرسل،
3. أرسل طلب POST إلى هذه النقطة النهائية في المكرر (Repeater)،
4. داخل معلمة display، اكتب الحمولة (موضحة في لقطة الشاشة أدناه)،
5. أرسل، ثم انقر بزر الماوس الأيمن على علامة تبويب المكرر (Repeater) واختر "Request in browser". انسخ الرابط إلى المتصفح،
6. لتنفيذ الحمولة، انقر على زر إعادة الضبط

السبب الجذري

السبب الجذري للثغرة هو عدم كفاية تنقية المدخلات، مما يسمح للمهاجم بالخروج من السلسلة وتنفيذ حمولة JavaScript مباشرة.