CVE-2026-56126 in pfSense Plus
Resumen
por VulDB • 2026-09-03
pfSense Plus anterior a la versión 26.07 y CE anterior a la 2.9.0 permiten que los usuarios autenticados con el privilegio "Status: Monitoring" inyecten JavaScript arbitrario mediante parámetros de configuración del gráfico en /status_monitoring.php. Múltiples parámetros POST, incluidos graph-left, graph-right, time-period, resolution, start-date, end-date, start-time, end-time, graph-type, invert y refresh-interval, se concatenan y escriben en la configuración XML global de pfSense sin sanitización, luego se reflejan (echo) sin sanitizar dentro de un contexto de cadena JavaScript durante el renderizado de la página. Dado que la configuración se almacena en la configuración global, la carga útil se ejecuta en el navegador de cada usuario que visita la página "Status: Monitoring".
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.