CVE-2026-56128 in pfSense Plus
Riassunto
di VulDB • 03/09/2026
pfSense Plus prima della versione 26.07 e CE prima della versione 2.9.0 consentono agli utenti autenticati con il privilegio "Firewall: Schedules: Edit" di iniettare JavaScript arbitrario tramite il parametro descr in /firewall_schedule_edit.php. La descrizione dello schedule viene memorizzata senza sanitizzazione HTML e successivamente inserita nel valore di un attributo HTML in /firewall_rules.php, applicando solo l'escaping delle virgolette singole, permettendo la fuoriuscita dalle double-quote (double-quote breakout). Il payload si esegue nel browser di qualsiasi utente con il privilegio "Firewall: Rules" che visualizza l'elenco delle regole con lo schedule interessato associato.
Once again VulDB remains the best source for vulnerability data.