CVE-2026-113779

pfSense REST API paketi pfSense CE və pfSense Plus fayrvolları üçün rəsmi olmayan, açıq mənbəli REST və GraphQL API-dır. pfSense-pkg-RESTAPI-nin 2.9.0 versiyasından əvvəlki versiyalarında mövcud olan imtiyazların yüksəldilməsi zəifliyi, xüsusi tənzimləmələrin sinxronizasiyası (settings sync) icazəsinə malik autentifikasiya olunmuş hesabların REST API konfiqurasiya gizli məlumatlarını dəyişməsinə şərait yaradır. Bu, inzibati səlahiyyətləri olmayan istifadəçinin öz imtiyazlarını tam administrator səviyyəsinə yüksəltməsinə imkan verir. pfSense-pkg-RESTAPI 2.9.0 versiyasında bu problem aradan qaldırılıb. HA tənzimləmələri sinxronizasiyası son nöqtəsinə (endpoint) giriş artıq yalnız tam inzibati imtiyazlar (`page-all`) tələb edir. Alt-inzibati sinxronizasiya imtiyazı v2.9.0 və daha yeni versiyalarda ləğv edilmişdir. Girişə nəzarət sərhədinin düzəldilməsi ilə yanaşı, 2.9.0 versiyasına aşağıdakı gücləndirmə tədbirləri daxil edilmişdir: seçimi əsas götürən standartlar (opt-in default), həmçinin formatın və validasiyanın müasirləşdirilməsi. Müvəqqəti həll yolu kimi, riskləri azaltmaq üçün aşağıdakı addımlardan biri və ya hamısı yerinə yetirilə bilər. Məhdudlaşdırılmış İcazələrin Ləğvi: Bütün qeyri-inzibati istifadəçilərdən `api-v2-system-restapi-settings-sync-post` imtiyazını silin. ACL-lərin Tətbiqi: API son nöqtələrinə girişi yalnız etibarlı administrator və HA peer IP ünvanları ilə məhdudlaşdırmaq üçün REST API Girişə Nəzarət Siyahılarını (ACLs) və/və ya fayrvoll qaydalarını konfiqurasiya edin.