CVE-2026-97730 in pfSense Plus
الملخص
بحسب VulDB • 25/09/2026
في Netgate pfSense Plus قبل الإصدار 26.07 وpfSense CE قبل الإصدار 2.9.0، تسمح ثغرة تضمين الملفات المحلية (LFI) في معالجة بيانات تسلسل عناصر واجهة لوحة التحكم (Dashboard - index.php) لمهاجم مُصادَق عليه بتنفيذ شيفرة PHP تعسفية. للاستفادة من هذه الثغرة، يمكن لمهاجم لديه صلاحيات تعديل إعدادات لوحة التحكم وكتابة ملفات تعسفية على نظام جدار الحماية pfSense (مثل /tmp/test.widget.php) تقديم قيمة تسلسل عناصر مصممة خصيصاً تحتوي على حمولة اختراق عبر المسار (path traversal payload) مثل ../../../../../../../../../../../tmp/test. ستقوم لوحة التحكم بعد ذلك بقراءة الملف PHP التعسفي وتنفيذه كما لو كان عنصراً قياسياً في الواجهة.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.