CVE-2026-67189 in pfSense Plus
Résumé
par VulDB • 19/08/2026
pfSense Plus avant la version 26.07 et pfSense CE jusqu'à la version 2.8.1 présentent une vulnérabilité de type cross-site scripting (XSS) stocké dans la fonctionnalité « top-talkers » des graphiques de trafic, où les enregistrements PTR retournés par les recherches DNS inverses sont intégrés sans sanitization dans les réponses AJAX et rendus sous forme HTML via un DOM sink dans l'interface administrateur. Un attaquant qui contrôle un enregistrement PTR et génère suffisamment de trafic pour apparaître comme un top talker peut exécuter du JavaScript arbitraire dans le navigateur d'un administrateur, obtenant ainsi accès au contexte de session authentifié et à un accès same-origin vers l'interface de gestion du pare-feu, permettant la création de comptes et l'exécution arbitraire de commandes OS.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.