CVE-2026-56126
Açıklama
26.07 öncesi pfSense Plus ve 2.9.0 öncesi CE sürümleri, Status: Monitoring yetkisine sahip kimliği doğrulanmış kullanıcıların /status_monitoring.php adresindeki grafik yapılandırma parametreleri aracılığıyla rastgele JavaScript kodu enjekte etmesine izin verir. graph-left, graph-right, time-period, resolution, start-date, end-date, start-time, end-time, graph-type, invert ve refresh-interval dahil olmak üzere birden fazla POST parametresi, herhangi bir temizleme işlemi yapılmadan birbirine eklenerek genel pfSense XML yapılandırmasına yazılır ve ardından sayfa oluşturulurken bir JavaScript dize bağlamına temizlenmeden yansıtılır. Ayar genel yapılandırmada saklandığı için, yüklenen kod Status: Monitoring sayfasını ziyaret eden her kullanıcının tarayıcısında çalıştırılır.
Nasıl düzeltilir
- Netgate pfSense Plus26.07 ya da sonraki bir sürüm
- Netgate pfSense CE2.9.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Netgate pfSense Plus | v < 26.07 | 26.07 |
| Netgate pfSense CE | v < 2.9.0 | 2.9.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.