CVE-2026-56126 in pfSense Plus
要約
〜によって VulDB • 2026年09月03日
pfSense Plus 26.07 および CE 2.9.0 より前のバージョンでは、Status: Monitoring の権限を持つ認証済みユーザーが /status_monitoring.php 内のグラフ設定パラメータを介して任意の JavaScript をインジェクトできます。graph-left、graph-right、time-period、resolution、start-date、end-date、start-time、end-time、graph-type、invert、refresh-interval など複数の POST パラメータはサニタイズ処理されずにグローバルな pfSense XML 設定に連結・書き込まれ、その後ページレンダリング時に JavaScript の文字列コンテキスト内でサニタイズせずに出力されます。この設定がグローバル構成に保存されるため、Status: Monitoring ページを訪問するすべてのユーザーのブラウザでペイロードが実行されます。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.