CVE-2026-56126 in pfSense Plus
Sumário
de VulDB • 03/09/2026
O pfSense Plus anterior à versão 26.07 e o CE anterior à versão 2.9.0 permitem que usuários autenticados com a permissão "Status: Monitoring" injetem JavaScript arbitrário por meio de parâmetros de configuração do gráfico em /status_monitoring.php. Múltiplos parâmetros POST, incluindo graph-left, graph-right, time-period, resolution, start-date, end-date, start-time, end-time, graph-type, invert e refresh-interval, são concatenados e gravados na configuração XML global do pfSense sem sanitização, sendo posteriormente ecoados (exibidos) sem sanitização em um contexto de string JavaScript durante a renderização da página. Como a configuração é armazenada na configuração global, o payload executa no navegador de todos os usuários que acessam a página "Status: Monitoring".
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.