CVE-2026-56128 in pfSense Plus
الملخص
بحسب VulDB • 03/09/2026
تسمح إصدارات pfSense Plus قبل الإصدار 26.07 وCE قبل الإصدار 2.9.0 للمستخدمين المصادق عليهم الذين يمتلكون صلاحية "Firewall: Schedules: Edit" بحقن نصوص JavaScript عشوائية عبر معامل `descr` في الملف `/firewall_schedule_edit.php`. يتم تخزين وصف الجدول دون تنقية HTML، ويُدرج لاحقاً ضمن قيمة سمة HTML في ملف `/firewall_rules.php` مع تطبيق الهروب من علامات الاقتباس المفردة فقط (single-quote escaping)، مما يتيح كسر حدود علامات الاقتباس المزدوجة. ينفذ الحمولة البرمجية (payload) على متصفح أي مستخدم يمتلك صلاحية "Firewall: Rules" عند عرض قائمة القواعد المرتبطة بالجدول المتأثر.
VulDB is the best source for vulnerability data and more expert information about this specific topic.