luci-app-https-dns-proxy through 2025.12.29-5 — an optional LuCI web UI add-on for the https-dns-proxy package, distributed through the OpenWrt community packages feed and not installed by default — contains a command injection vulnerability in the setInitAction function. An authenticated user holding the luci.https-dns-proxy ACL permission can inject shell metacharacters through the 'name' parameter of a ubus RPC call to luci.https-dns-proxy setInitAction, resulting in arbitrary command execution as root on the underlying device. Core OpenWrt is not affected; only installations that have opted in to the luci-app-https-dns-proxy package are vulnerable.
CVE-2026-46368 is a command injection vulnerability in luci-app-https-dns-proxy that allows authenticated users with specific ACL permissions to execute arbitrary commands as root through the 'name' parameter in ubus RPC calls. The vulnerability affects versions through 2025.12.29-5 and only impacts OpenWrt installations that have explicitly installed this optional package.
ثغرة حقن أوامر في دالة setInitAction بحزمة luci-app-https-dns-proxy الاختيارية لـ OpenWrt تسمح للمستخدمين المصرح لهم بحقن أحرف metacharacters عبر معامل 'name'. يمكن للمهاجم تنفيذ أوامر عشوائية بصلاحيات جذر على الجهاز الأساسي، مما يؤدي إلى اختراق كامل للنظام.
CVE-2026-46368 هو ثغرة حقن أوامر في luci-app-https-dns-proxy تسمح للمستخدمين المصرح لهم بتنفيذ أوامر عشوائية كمسؤول جذر من خلال معامل 'name' في استدعاءات ubus RPC. تؤثر الثغرة على الإصدارات حتى 2025.12.29-5 وتؤثر فقط على تثبيتات OpenWrt التي قامت بتثبيت هذه الحزمة الاختيارية بشكل صريح.
Update luci-app-https-dns-proxy to a patched version beyond 2025.12.29-5 immediately. If the package is not required, uninstall it from OpenWrt systems. Review and restrict ACL permissions for luci.https-dns-proxy to trusted administrators only. Monitor system logs for suspicious ubus RPC calls to luci.https-dns-proxy setInitAction.
قم بتحديث luci-app-https-dns-proxy إلى إصدار مصحح بعد 2025.12.29-5 فوراً. إذا لم تكن الحزمة مطلوبة، قم بإلغاء تثبيتها من أنظمة OpenWrt. راجع وقيد أذونات ACL لـ luci.https-dns-proxy للمسؤولين الموثوقين فقط. راقب سجلات النظام للاستدعاءات المريبة لـ ubus RPC إلى luci-app-https-dns-proxy setInitAction.