‹ Volver al listado

CVE-2026-58390

Estado: AplazadaAlta (8)—
Gravedad8Alta · CVSS 3.1
Probabilidad de explotación0.48 %mayor que el 40 % de las CVE
Explotación activaNono figura en el catálogo de CISA
Exploit públicoNo conocidosin código público localizado

OPNsense es una plataforma de cortafuegos y enrutamiento basada en FreeBSD. Antes de la versión 26.1.11, el widget del panel de estado de conexiones de OpenVPN en src/opnsense/www/js/widgets/OpenVPNClients.js y la vista de estado de conexiones colocan el common_name de un cliente en atributos data-common-name sin una codificación segura frente a comillas.

Leer descripción completaMostrar menos

La explotación requiere un servidor OpenVPN configurado con username-as-common-name y autenticación RADIUS o LDAP, además de la capacidad de aprovisionar o registrar por sí mismo un nombre de usuario válido en el backend que contenga una comilla doble; en los despliegues donde el mismo administrador controla tanto el backend de identidad como el cortafuegos no se cruza un límite de confianza independiente. Un cliente autenticado que use ese nombre de usuario puede cerrar el atributo y añadir un manejador de eventos, mientras que la base de datos local de usuarios no se ve afectada, ya que su validador de nombres de usuario rechaza las comillas. El script se ejecuta en la sesión de un administrador cuando este abre el panel o la página de estado de conexiones y se dispara el evento inyectado; la carga de demostración utilizó el movimiento del puntero sobre la fila del cliente en lugar de una ejecución incondicional al cargar la página. El aviso demuestra que el script puede leer config.xml, invocar API privilegiadas, restablecer la contraseña de root y obtener ejecución de comandos como root. Este problema está corregido en la versión 26.1.11.

Traducción automática del texto original de NVD (en inglés).

CVSS

Puntuación base
8
Versión
3.1
Vector
CVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:C/C:H/I:H/A:H

Probabilidad de explotación (EPSS)

Probabilidad de explotación en los próximos 30 días
0.48 %
Percentil entre todas las CVEs puntuadas
40
Fecha de la puntuación
20/10/2026

EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).

Técnicas ATT&CK

Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.

XSS almacenado (CWE-79): el common_name se inserta en data-common-name sin codificar y el script corre en la sesión del administrador, que puede leer config.xml y restablecer la contraseña de root.

Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.

Mitigaciones ATT&CK que cubren estas técnicas

Restrict Web-Based ContentDisable or Remove Feature or ProgramUser TrainingUser Account ManagementRestrict File and Directory PermissionsPrivileged Account Management

Tecnologías afectadas (1)

⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.

Opnsense — OpnsenseAI

CWE

Referencias

Mostrar las 4 referencias

JSON original (NVD)

Mostrar
{
  "id": "CVE-2026-58390",
  "cveTags": [],
  "metrics": {
    "ssvcV203": [
      {
        "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
        "ssvcData": {
          "id": "CVE-2026-58390",
          "role": "CISA Coordinator",
          "options": [
            {
              "exploitation": "poc"
            },
            {
              "automatable": "no"
            },
            {
              "technicalImpact": "total"
            }
          ],
          "version": "2.0.3",
          "timestamp": "2026-10-20T02:43:46.164395Z"
        }
      }
    ],
    "cvssMetricV31": [
      {
        "type": "Secondary",
        "source": "security-advisories@github.com",
        "cvssData": {
          "scope": "CHANGED",
          "version": "3.1",
          "baseScore": 8,
          "attackVector": "NETWORK",
          "baseSeverity": "HIGH",
          "vectorString": "CVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:C/C:H/I:H/A:H",
          "integrityImpact": "HIGH",
          "userInteraction": "REQUIRED",
          "attackComplexity": "HIGH",
          "availabilityImpact": "HIGH",
          "privilegesRequired": "LOW",
          "confidentialityImpact": "HIGH"
        },
        "impactScore": 6,
        "exploitabilityScore": 1.3
      }
    ]
  },
  "affected": [
    {
      "source": "security-advisories@github.com",
      "affectedData": [
        {
          "vendor": "opnsense",
          "product": "core",
          "versions": [
            {
              "status": "affected",
              "version": "< 26.1.11"
            }
          ]
        }
      ]
    }
  ],
  "published": "2026-10-15T16:18:17.890",
  "references": [
    {
      "url": "https://github.com/opnsense/core/commit/11180daf579879d84d91a7fbea7a59320bc80868",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/opnsense/core/commit/e7b2ac8093f804bef8eb88dfa9a0d99fad00c12b",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/opnsense/core/security/advisories/GHSA-26cj-h9rj-g5pf",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/opnsense/core/security/advisories/GHSA-26cj-h9rj-g5pf",
      "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0"
    }
  ],
  "vulnStatus": "Deferred",
  "weaknesses": [
    {
      "type": "Secondary",
      "source": "security-advisories@github.com",
      "description": [
        {
          "lang": "en",
          "value": "CWE-79"
        }
      ]
    }
  ],
  "descriptions": [
    {
      "lang": "en",
      "value": "OPNsense is a FreeBSD based firewall and routing platform. Prior to version 26.1.11, the OpenVPN connection-status dashboard widget in src/opnsense/www/js/widgets/OpenVPNClients.js and the connection-status view place a client common_name into data-common-name attributes without quote-safe encoding. Exploitation requires an OpenVPN server configured with username-as-common-name and RADIUS or LDAP authentication, plus the ability to provision or self-register a valid backend username containing a double quote; deployments where the same administrator controls both the identity backend and firewall do not cross a separate trust boundary. An authenticated client using that username can close the attribute and add an event handler, while the local user database is not affected because its username validator rejects quotes. Script executes in an administrator's session when the administrator opens the dashboard or connection-status page and the injected event is triggered; the demonstrated payload used pointer movement over the client row rather than unconditional page-load execution. The advisory demonstrates that the script can read config.xml, invoke privileged APIs, reset the root password, and obtain root command execution. This issue is fixed in version 26.1.11."
    }
  ],
  "lastModified": "2026-10-20T03:17:16.080",
  "sourceIdentifier": "security-advisories@github.com"
}