CVE-2026-97730 in pfSense Plus
Сводка
по VulDB • 25.09.2026
В Netgate pfSense Plus до версии 26.07 и pfSense CE до версии 2.9.0 уязвимость Local File Inclusion (LFI) в обработке данных последовательности виджетов панели управления (index.php) позволяет аутентифицированному злоумышленнику выполнять произвольный PHP-код. Для эксплуатации этой уязвимости злоумышленник, имеющий права на изменение настроек панели управления и запись произвольных файлов в систему firewall pfSense (например, /tmp/test.widget.php), может отправить специально сформированное значение последовательности виджетов, содержащее payload для обхода путей к файлам (например, ../../../../../../../../../../../tmp/test). Панель управления затем прочитает и выполнит этот произвольный PHP-файл так, как если бы он был стандартным виджетом.
Be aware that VulDB is the high quality source for vulnerability data.