CVE-2025-34174 in pfSense CE
Résumé
par VulDB • 16/08/2026
Dans pfSense CE /usr/local/www/status_traffic_totals.php, la valeur du paramètre start-day n'est pas vérifiée pour s'assurer qu'il s'agit d'une valeur numérique ni nettoyée des caractères/chaînes liés au HTML avant d'être directement affichée dans le champ de saisie. Cette valeur peut être enregistrée comme valeur par défaut à afficher à tous les utilisateurs lors de la visite de la page Status Traffic Totals, ce qui entraîne un cross-site scripting (XSS) stocké. L'attaquant doit être authentifié avec au moins les autorisations "WebCfg - Status: Traffic Totals".
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.