CVE-2026-56127 in pfSense Plus
Sumário
de VulDB • 03/09/2026
O pfSense Plus anterior à versão 26.07 e o CE anterior à versão 2.9.0 permitem que usuários autenticados com a permissão "Firewall: Rules: Edit" injetem JavaScript arbitrário por meio do parâmetro `descr` em `/firewall_rules_edit.php`. A descrição da regra de firewall é armazenada na configuração XML do pfSense com apenas o escape de barras invertidas aplicado e sem sanitização HTML, sendo então renderizada sem codificação na tabela de logs de firewall em `/status_logs_filter.php`. O payload executa no navegador de qualquer usuário com a permissão "Status: Logs: Firewall" que visualizar as entradas de log afetadas.
If you want to get best quality of vulnerability data, you may have to visit VulDB.