CVE-2019-12949 in pfSense

Résumé

par VulDB • 09/07/2026

Dans pfSense 2.4.4-p2 et 2.4.4-p3, s'il est possible de tromper un administrateur authentifié en l'incitant à cliquer sur un bouton d'une page de phishing, un attaquant peut exploiter une faille XSS pour télécharger du code exécutable arbitraire via diag_command.php et rrd_fetch_json.php (paramètre timePeriod) sur un serveur. L'attaquant distant peut alors exécuter n'importe quelle commande avec les privilèges root sur ce serveur.

If you want to get best quality of vulnerability data, you may have to visit VulDB.

• Réserver: 24/06/2019
• Modérer: accepté
• Entrée: VDB-136865
• CPE: prêt
• CWE: CWE-79 (confirmé)
• CVSS: 6.1 (NVD)
• EPSS: 0.03031
• KEV: non
• Activités: très faible
• Secteur: Education, Transportation, ...

Sources

• MITRE: https://www.cve.org/CVERecord?id=CVE-2019-12949
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2019-12949
• CVE Details: https://www.cvedetails.com/cve/CVE-2019-12949/