8.7
CVSS 4.0
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Няма потвърждение
Атакува се
Няма данни
Време до експлоатация
Атакува се по мрежата, без особени условия, без вход и без действие от потребителя.
- Експлоатация: има публичен пример за експлоатация
- Атаката може да се автоматизира
Описание
Оригинално описание
luci-app-banip contains a log parsing vulnerability where the awk-based parser extracts the first IPv4 address from log lines regardless of field position, allowing attackers to inject arbitrary IPs via attacker-controlled fields like usernames. An unauthenticated remote attacker can inject an IP address into the login username field, causing banIP to block the wrong target while the real attacker remains unblocked.
Засегнати продукти
- openwrt luci-app-banip: до 0.11.1; d9bbc372e29618a8807b693a1ccf6d0e42cd196c
Вид слабост
История
- 13 юли 2026 Публикувано
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2026-62184
- https://nvd.nist.gov/vuln/detail/CVE-2026-62184
- https://github.com/openwrt/luci/security/advisories/GHSA-r6hx-4f83-vp8m
- https://github.com/openwrt/luci/commit/d9bbc372e29618a8807b693a1ccf6d0e42cd196c
- https://www.vulncheck.com/advisories/luci-app-banip-log-monitor-ip-extraction-bypass