CVE-2026-56126 in pfSense Plus
Zusammenfassung
von VulDB • 03.09.2026
In pfSense Plus vor Version 26.07 und CE vor Version 2.9.0 können authentifizierte Benutzer mit dem Berechtigungsschlüssel „Status: Monitoring“ beliebigen JavaScript-Code über Graph-Konfigurationsparameter in /status_monitoring.php injizieren. Mehrere POST-Parameter, darunter graph-left, graph-right, time-period, resolution, start-date, end-date, start-time, end-time, graph-type, invert und refresh-interval, werden ohne Sanitization an die globale pfSense XML-Konfiguration angehängt und dort gespeichert; anschließend werden sie beim Rendern der Seite ungesäubert in einen JavaScript-String-Kontext ausgegeben. Da die Einstellung im globalen Konfigurationsverzeichnis gespeichert wird, wird das Payload im Browser jedes Benutzers ausgeführt, der die Seite „Status: Monitoring“ aufruft.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.