CVE-2026-56128
Açıklama
26.07 öncesindeki pfSense Plus ve 2.9.0 öncesindeki CE sürümleri, Firewall: Schedules: Edit yetkisine sahip kimliği doğrulanmış kullanıcıların /firewall_schedule_edit.php adresindeki descr parametresi aracılığıyla rastgele JavaScript enjekte etmesine izin verir. Zamanlama açıklaması, HTML temizleme işlemi yapılmadan saklanır ve ardından yalnızca tek tırnak kaçış karakterleri uygulanarak /firewall_rules.php içindeki bir HTML öznitelik değerine yerleştirilir; bu durum çift tırnak ile dışarı çıkılmasına olanak tanır. Payload, etkilenen zamanlamanın ekli olduğu kurallar listesini görüntüleyen ve Firewall: Rules yetkisine sahip herhangi bir kullanıcının tarayıcısında çalıştırılır.
Nasıl düzeltilir
- Netgate pfSense Plus26.07 ya da sonraki bir sürüm
- Netgate pfSense CE2.9.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Netgate pfSense Plus | v < 26.07 | 26.07 |
| Netgate pfSense CE | v < 2.9.0 | 2.9.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.