CVE-2025-57389 - XSS reflejado en OpenWRT 18.06.2

Descripción

Se identificó una vulnerabilidad de cross-site scripting (XSS) reflejado en Luci OpenWRT v18.06.2 (EOL) en el endpoint /cgi-bin/luci/admin/system/packages.

Prueba de concepto

1. Mientras se intercepta el tráfico con Burp, navegue a http://192.168.56.2/cgi-bin/luci/admin/system/packages,
2. Escriba cualquier nombre de paquete en Filtro, envíe,
3. Envíe la petición POST a este endpoint al repeater,
4. Dentro del parámetro display, escriba el payload (mostrado en la captura de pantalla siguiente),
5. Envíe, haga clic derecho en la pestaña Repeater, Request in browser. Copie el enlace en el navegador
6. Para ejecutar el payload, haga clic en el botón Restablecer

Causa raíz