CVE-2026-97730 in pfSense Plus
요약
\~에 의해 VulDB • 2026. 09. 25.
Netgate pfSense Plus 26.07 이전 버전과 pfSense CE 2.9.0 이전 버전에서, 대시보드(index.php) 위젯 시퀀스 데이터 처리에 대한 로컬 파일 포함(Local File Inclusion, LFI) 취약점으로 인해 인증된 공격자가 임의 PHP 코드를 실행할 수 있습니다. 이를 악용하려면 대시보드 설정을 수정하고 pfSense 방화벽 시스템(예: /tmp/test.widget.php)에 임의 파일을 작성할 수 있는 권한이 있는 공격자는 경로 순회 페이로드가 포함된 위젯 시퀀스 값(예: ../../../../../../../../../../../tmp/test)을 제출해야 합니다. 대시보드는 이후 해당 임의 PHP 파일을 표준 위젯인 것처럼 읽고 실행합니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.