CVE-2026-56128
Təsvir
26.07 versiyasından əvvəlki pfSense Plus və 2.9.0 versiyasından əvvəlki CE, "Firewall: Schedules: Edit" imtiyazına malik autentifikasiya olunmuş istifadəçilərə /firewall_schedule_edit.php faylındakı descr parametri vasitəsilə ixtiyari JavaScript kodunun yerləşdirilməsinə şərait yaradır. Cədvəlin təsviri HTML təmizlənmədən saxlanılır və sonradan yalnız tək dırnaq simvollarının qaçırılması (escaping) tətbiq edilərək /firewall_rules.php faylında bir HTML atribut dəyərinə daxil edilir ki, bu da qoşa dırnaqla çıxışa (breakout) imkan verir. Zərərli kod, təsirlənmiş cədvələ bağlı qaydalar siyahısını görən və "Firewall: Rules" imtiyazına malik olan hər hansı istifadəçinin brauzerində icra olunur.
Necə düzəltmək olar
- Netgate pfSense Plus26.07 və ya daha yeni versiya
- Netgate pfSense CE2.9.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| Netgate pfSense Plus | v < 26.07 | 26.07 |
| Netgate pfSense CE | v < 2.9.0 | 2.9.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.