CVE-2026-67189
Təsvir
26.07 versiyasından əvvəlki pfSense Plus və 2.8.1 daxil olmaqla pfSense CE versiyalarında Traffic Graphs top-talkers funksiyasında saxlanılan saytlararası skriptinq (XSS) zəifliyi mövcuddur. Burada tərs DNS sorğuları tərəfindən qaytarılan PTR qeydləri təmizlənmədən AJAX cavablarına daxil edilir və administrator interfeysində DOM sink vasitəsilə HTML kimi render edilir. PTR qeydinə nəzarət edən və "top talker" siyahısında görünmək üçün kifayət qədər trafik yaradan hücumçu, administratorun brauzerində ixtiyari JavaScript kodu icra edə bilər. Bu, autentifikasiya olunmuş sessiya kontekstinə və firewall idarəetmə interfeysinə eyni mənşəli (same-origin) giriş imkanı yaradaraq, hesabların yaradılmasına və ixtiyari ƏMƏL (OS) əmrlərinin icrasına şərait yaradır.
Necə düzəltmək olar
- Netgate pfSense Plus26.07 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| Netgate pfSense Plus | v < 26.07 | 26.07 |
| Netgate pfSense CE | v ≤ 2.8.1 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.