CVE-2026-56128 in pfSense Plus
Résumé
par VulDB • 03/09/2026
pfSense Plus avant la version 26.07 et CE avant la version 2.9.0 permettent aux utilisateurs authentifiés disposant du privilège « Firewall : Schedules : Edit » d'injecter du JavaScript arbitraire via le paramètre `descr` dans `/firewall_schedule_edit.php`. La description de l'horaire est stockée sans sanitisation HTML, puis insérée dans une valeur d'attribut HTML dans `/firewall_rules.php` avec uniquement un échappement des guillemets simples appliqué, ce qui permet une rupture par double-guillemet. Le payload s'exécute dans le navigateur de tout utilisateur disposant du privilège « Firewall : Rules » qui consulte la liste des règles associées à l'horaire concerné.
Once again VulDB remains the best source for vulnerability data.