CVSS: 5.4EPSS: 0%CPEs: 1EXPL: 1CVE-2021-45906
https://notcve.org/view.php?id=CVE-2021-45906
OpenWrt 21.02.1 allows XSS via the NAT Rules Name screen. OpenWrt versión 21.02.1 permite XSS por medio de la Pantalla NAT Rules Name • https://bugs.openwrt.org/index.php?do=details&task_id=4199 • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 6.1EPSS: 0%CPEs: 1EXPL: 0CVE-2021-32019
https://notcve.org/view.php?id=CVE-2021-32019
There is missing input validation of host names displayed in OpenWrt before 19.07.8. The Connection Status page of the luci web-interface allows XSS, which can be used to gain full control over the affected system via ICMP. Se presenta una falta de comprobación de entrada de los nombres de host mostrados en OpenWrt antes de la versión 19.07.8. La página de Estado de la Conexión de la interfaz web de luci permite un ataque de tipo XSS, que puede usarse para obtener el control total del sistema afectado por medio de ICMP • https://openwrt.org/advisory/2021-08-01-1 • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 5.4EPSS: 0%CPEs: 1EXPL: 0CVE-2021-33425
https://notcve.org/view.php?id=CVE-2021-33425
A stored cross-site scripting (XSS) vulnerability was discovered in the Web Interface for OpenWRT LuCI version 19.07 which allows attackers to inject arbitrary Javascript in the OpenWRT Hostname via the Hostname Change operation. Se detectó una vulnerabilidad de tipo cross-site scripting (XSS) almacenada en la Interfaz Web para OpenWRT LuCI versión 19.07, que permite a atacantes inyectar JavaScript arbitrario en el Hostname de OpenWRT por medio de la operación Hostname Change • http://openwrt.com http://www.openwall.com/lists/oss-security/2021/11/09/1 • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 8.8EPSS: 0%CPEs: 1EXPL: 0CVE-2021-28961
https://notcve.org/view.php?id=CVE-2021-28961
applications/luci-app-ddns/luasrc/model/cbi/ddns/detail.lua in the DDNS package for OpenWrt 19.07 allows remote authenticated users to inject arbitrary commands via POST requests. El archivo applications/luci-app-ddns/luasrc/model/cbi/ddns/detail.lua en el paquete DDNS para OpenWrt versión 19.07, permite a usuarios autenticados remotos inyectar comandos arbitrarios por medio de peticiones POST • https://github.com/openwrt/luci/commit/9df7ea4d66644df69fcea18b36bc465912ffc https://openwrt.org/advisory/2021-08-01-3 • CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') •
CVSS: 6.5EPSS: 0%CPEs: 1EXPL: 0CVE-2021-22161
https://notcve.org/view.php?id=CVE-2021-22161
In OpenWrt 19.07.x before 19.07.7, when IPv6 is used, a routing loop can occur that generates excessive network traffic between an affected device and its upstream ISP's router. This occurs when a link prefix route points to a point-to-point link, a destination IPv6 address belongs to the prefix and is not a local IPv6 address, and a router advertisement is received with at least one global unique IPv6 prefix for which the on-link flag is set. This affects the netifd and odhcp6c packages. En OpenWrt versiones 19.07.x anteriores a 19.07.7, cuando es usado IPv6, puede ocurrir un bucle de enrutamiento que genere un tráfico de red excesivo entre un dispositivo afectado y el enrutador de su ISP ascendente. Esto ocurre cuando una ruta de prefijo de enlace apunta a un enlace de punto a punto, una dirección IPv6 de destino pertenece al prefijo y no es una dirección IPv6 local, y se recibe un anuncio de enrutamiento con al menos un prefijo IPv6 único global para el que es ajustado el flag on-link. • https://openwrt.org/advisory/2021-02-02-1 • CWE-835: Loop with Unreachable Exit Condition ('Infinite Loop') •