CVE-2026-67189
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 66 - wyżej niż 66% wszystkich znanych CVE
Streszczenie
pfSense Plus (przed 26.07) i pfSense CE (do 2.8.1) zawierają podatność XSS (przechowywane) w funkcji Traffic Graphs top-talkers. Rekordy PTR z odwrotnego DNS są wstawiane bez sanityzacji do odpowiedzi AJAX i renderowane jako HTML w interfejsie administratora. Atakujący kontrolujący rekord PTR i generujący wystarczający ruch może wykonać dowolny JavaScript w przeglądarce administratora, uzyskując dostęp do sesji i możliwość tworzenia kont oraz wykonywania poleceń OS.
Ocena ryzyka
Przejęcie sesji administratora może prowadzić do pełnej kompromitacji zapory sieciowej, w tym tworzenia kont i wykonywania dowolnych poleceń systemowych.
Rekomendacja
Zaktualizuj pfSense do wersji 26.07 (Plus) lub nowszej (CE) oraz rozważ ograniczenie zaufania do rekordów PTR.
Inne podatności w pfSense
Zobacz wszystkie- CVE-2026-78902Średnie
W Netgate pfSense w wersji 26.03.1-RELEASE występuje podatność XSS, która umożliwia atakującemu wykonanie dowolnego kodu w kontekście przeglądarki ofiary poprzez pakiet pfBlockerNG.
- CVE-2026-97730Wysokie
W Netgate pfSense Plus przed wersją 26.07 oraz pfSense CE przed 2.9.0 występuje luka Local File Inclusion (LFI) w obsłudze danych sekwencji widgetów na pulpicie (index.php). Uwierzytelniony atakujący z uprawnieniami do modyfikacji ustawień pulpitu i zapisu dowolnych plików w systemie pfSense (np. /tmp/test.widget.php) może przesłać spreparowaną wartość sekwencji widgetu zawierającą path traversal (np. ../../../../../../../../../../../tmp/test), co powoduje odczyt i wykonanie dowolnego pliku PHP jako standardowego widgetu.
- CVE-2026-78849Średnie
Podatność na Cross-Site Scripting (XSS) w oprogramowaniu Netgate pfSense Plus (wersje <= 26.03) i pfSense CE (wersje <= 2.8.1) występuje w pliku captive_portal_status.widget.php. Zdalny atakujący może wykorzystać tę podatność do wykonania dowolnego kodu w przeglądarce ofiary.
- CVE-2026-38961Średnie
Podatność na Cross-Site Scripting (XSS) w widżecie RSS w Netgate pfSense Plus (wersje 26.03, 25.11.1) i pfSense CE (wersja 2.8.1) pozwala zdalnym uwierzytelnionym atakującym na wstrzyknięcie dowolnego JavaScriptu poprzez złośliwą treść w tytule kanału RSS. Wstrzyknięty skrypt wykonuje się w przeglądarce każdego uwierzytelnionego użytkownika, który przegląda pulpit nawigacyjny, z powodu niedostatecznej sanityzacji danych tytułu przed renderowaniem w widżecie.
- CVE-2026-56128Średnie
pfSense Plus przed 26.07 i CE przed 2.9.0 pozwalają uwierzytelnionym użytkownikom z uprawnieniem Firewall: Schedules: Edit na wstrzykiwanie dowolnego JavaScript przez parametr descr w /firewall_schedule_edit.php. Opis harmonogramu jest przechowywany bez sanityzacji HTML i następnie wstawiany do wartości atrybutu HTML w /firewall_rules.php z zastosowaniem tylko escapowania pojedynczych cudzysłowów, co umożliwia wyjście poza podwójny cudzysłów. Payload wykonuje się w przeglądarce każdego użytkownika z uprawnieniem Firewall: Rules, który przegląda listę reguł z dotkniętym harmonogramem.
- CVE-2026-56127Średnie
pfSense Plus przed 26.07 i CE przed 2.9.0 pozwalają uwierzytelnionym użytkownikom z uprawnieniem Firewall: Rules: Edit na wstrzykiwanie dowolnego JavaScript przez parametr descr w /firewall_rules_edit.php. Opis reguły jest przechowywany w konfiguracji XML pfSense z zastosowaniem tylko escapowania backslash i bez sanityzacji HTML, a następnie renderowany bez kodowania w tabeli logów firewalla w /status_logs_filter.php. Payload wykonuje się w przeglądarce każdego użytkownika z uprawnieniem Status: Logs: Firewall, który przegląda dotknięte wpisy logów.
- CVE-2026-56126Średnie
pfSense Plus przed 26.07 i CE przed 2.9.0 pozwalają uwierzytelnionym użytkownikom z uprawnieniem Status: Monitoring na wstrzykiwanie dowolnego JavaScript przez parametry konfiguracji wykresów w /status_monitoring.php. Wiele parametrów POST, w tym graph-left, graph-right, time-period, resolution, start-date, end-date, start-time, end-time, graph-type, invert i refresh-interval, jest łączonych i zapisywanych do globalnej konfiguracji XML pfSense bez sanityzacji, a następnie wyświetlanych bez sanityzacji w kontekście ciągu JavaScript podczas renderowania strony. Ponieważ ustawienie jest przechowywane w globalnej konfiguracji, payload wykonuje się w przeglądarce każdego użytkownika odwiedzającego stronę Status: Monitoring.
- CVE-2024-57273Średnie
Podatność XSS w usłudze automatycznego tworzenia kopii zapasowych konfiguracji (ACB) w systemie pfSense CE (przed wersją 2.8.0 beta) i odpowiadających mu wersjach Plus pozwala zdalnym atakującym na wykonanie dowolnego kodu JavaScript, usunięcie kopii zapasowych lub wyciek wrażliwych informacji poprzez niesanitowane pole 'reason' oraz pochodny klucz urządzenia generowany z publicznego klucza SSH.
Oryginalny opis (angielski, źródło NVD)
pfSense Plus before 26.07 and pfSense CE through 2.8.1 contain a stored cross-site scripting vulnerability in the Traffic Graphs top-talkers feature, where PTR records returned by reverse DNS lookups are incorporated without sanitization into AJAX responses and rendered as HTML through a DOM sink in the administrator interface. An attacker who controls a PTR record and generates sufficient traffic to appear as a top talker can execute arbitrary JavaScript in an administrator's browser, gaining access to the authenticated session context and same-origin access to the firewall management interface, enabling account creation and arbitrary OS command execution.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS