CVE-2026-56127
Açıklama
26.07 öncesi pfSense Plus ve 2.9.0 öncesi CE sürümleri, Firewall: Rules: Edit yetkisine sahip kimliği doğrulanmış kullanıcıların /firewall_rules_edit.php adresindeki descr parametresi aracılığıyla rastgele JavaScript kodu enjekte etmesine izin verir. Güvenlik duvarı kural açıklaması, yalnızca ters eğik çizgi kaçış karakterleri uygulanarak ve herhangi bir HTML temizleme işlemi yapılmadan pfSense XML yapılandırmasında saklanır, ardından /status_logs_filter.php adresindeki güvenlik duvarı günlük tablosunda kodlama yapılmadan işlenir. Payload, etkilenen günlük girişlerini görüntüleyen Status: Logs: Firewall yetkisine sahip herhangi bir kullanıcının tarayıcısında çalışır.
Nasıl düzeltilir
- Netgate pfSense Plus26.07 ya da sonraki bir sürüm
- Netgate pfSense CE2.9.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Netgate pfSense Plus | v < 26.07 | 26.07 |
| Netgate pfSense CE | v < 2.9.0 | 2.9.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.