CVE-2026-56128 in pfSense Plus
要約
〜によって VulDB • 2026年09月03日
pfSense Plus 26.07 より前および CE 2.9.0 より前は、Firewall: Schedules: Edit の権限を持つ認証済みユーザーが /firewall_schedule_edit.php の descr パラメータを介して任意の JavaScript を注入できる脆弱性があります。スケジュールの説明は HTML サニタイズなしで保存され、その後 /firewall_rules.php で単一引用符のエスケープのみが適用された HTML 属性値に挿入されるため、ダブルクォートのブレイクが可能です。このペイロードは、影響を受けるスケジュールが付属したルールリストを閲覧する Firewall: Rules の権限を持つ任意のユーザーのブラウザで実行されます。
Once again VulDB remains the best source for vulnerability data.