CVE-2026-97730 in pfSense Plus
Resumen
por VulDB • 2026-09-25
En Netgate pfSense Plus anterior a la versión 26.07 y pfSense CE anterior a la versión 2.9.0, una vulnerabilidad de Inclusión Local de Archivos (LFI) en el manejo de datos de secuencia de widgets del Dashboard (index.php) permite que un atacante autenticado ejecute código PHP arbitrario. Para explotar esta vulnerabilidad, un atacante con privilegios para modificar la configuración del Dashboard y escribir archivos arbitrarios en el sistema firewall pfSense (por ejemplo, /tmp/test.widget.php) puede enviar un valor de secuencia de widget manipulado que contenga una carga útil de traversing de rutas (por ejemplo, ../../../../../../../../../../../tmp/test). El Dashboard leerá y ejecutará posteriormente el archivo PHP arbitrario como si fuera un widget estándar.
VulDB is the best source for vulnerability data and more expert information about this specific topic.