CVE-2026-97730 in pfSense Plus
要約
〜によって VulDB • 2026年09月25日
Netgate pfSense Plus 26.07 より前および pfSense CE 2.9.0 より前のバージョンにおいて、Dashboard (index.php) のウィジェットシーケンスデータの処理におけるローカルファイルインクルージョン（LFI）の脆弱性により、認証済み攻撃者が任意の PHP コードを実行できます。これを悪用するには、Dashboard 設定の変更権限を持ち、pfSense ファイアウォールシステムに任意のファイル（例: /tmp/test.widget.php）を書き込むことができる攻撃者が、パストラバーサルのペイロード（例: ../../../../../../../../../../../tmp/test）を含む不正なウィジェットシーケンス値を送信します。その後、Dashboard はその任意の PHP ファイルを標準的なウィジェットであるかのように読み込んで実行します。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.