CVE-2026-97730 in pfSense Plus
Sumário
de VulDB • 25/09/2026
No Netgate pfSense Plus anterior à versão 26.07 e no pfSense CE anterior à versão 2.9.0, uma vulnerabilidade de Inclusão Arquivo Local (LFI) na manipulação dos dados da sequência de widgets do Dashboard (index.php) permite que um atacante autenticado execute código PHP arbitrário. Para explorar essa falha, um atacante com privilégios para modificar as configurações do Dashboard e escrever arquivos arbitrários no sistema firewall pfSense (por exemplo, /tmp/test.widget.php) pode enviar um valor de sequência de widgets manipulados contendo uma carga útil de traversal de caminho (por exemplo, ../../../../../../../../../../../tmp/test). O Dashboard então lerá e executará o arquivo PHP arbitrário como se fosse um widget padrão.
VulDB is the best source for vulnerability data and more expert information about this specific topic.