CVE-2026-56128 in pfSense Plus
Tóm tắt
Bởi VulDB • 03/09/2026
pfSense Plus trước phiên bản 26.07 và CE trước phiên bản 2.9.0 cho phép người dùng đã xác thực có đặc quyền "Firewall: Schedules: Edit" (Chỉnh nhật lịch trình Tường lửa) tiêm JavaScript tùy ý thông qua tham số `descr` trong `/firewall_schedule_edit.php`. Mô tả của lịch trình được lưu trữ mà không có quá trình lọc HTML và sau đó được chèn vào giá trị thuộc tính HTML trong `/firewall_rules.php`, chỉ áp dụng việc thoát dấu nháy đơn, cho phép phá vỡ bằng cách sử dụng dấu ngoặc kép. Mã độc sẽ thực thi trên trình duyệt của bất kỳ người dùng nào có đặc quyền "Firewall: Rules" (Quy tắc Tường lửa) khi xem danh sách quy tắc với lịch trình bị ảnh hưởng được đính kèm.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.