CVE-2026-111222
Açıklama
Netgate pfSense CE 2.9.0 ve öncesi sürümler, Genel Kurulum (General Setup) yetkilerine sahip kimliği doğrulanmış kullanıcıların, doğrulanmamış bir zaman dilimi değeri göndererek direktifler eklemesine olanak tanıyan bir php.ini enjeksiyonu zafiyeti içermektedir. Saldırganlar, tırnak işareti ve yeni satır karakterleri yerleştirerek /var/db/zoneinfo konumuna işaret eden bir auto_prepend_file ekleyebilir ve php.ini önyükleme sırasında yeniden oluşturulduğunda veya php-fpm yeniden başlatıldığında PHP'yi root olarak çalıştırabi
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| pfsense pfsense | v ≤ 2.9.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.