CVE-2026-97730
WysokieCVSS 8.5Streszczenie
W Netgate pfSense Plus przed wersją 26.07 oraz pfSense CE przed 2.9.0 występuje luka Local File Inclusion (LFI) w obsłudze danych sekwencji widgetów na pulpicie (index.php). Uwierzytelniony atakujący z uprawnieniami do modyfikacji ustawień pulpitu i zapisu dowolnych plików w systemie pfSense (np. /tmp/test.widget.php) może przesłać spreparowaną wartość sekwencji widgetu zawierającą path traversal (np. ../../../../../../../../../../../tmp/test), co powoduje odczyt i wykonanie dowolnego pliku PHP jako standardowego widgetu.
Ocena ryzyka
Uwierzytelniony atakujący może wykonać dowolny kod PHP na zaporze, co prowadzi do pełnego przejęcia urządzenia i naruszenia całej sieci.
Rekomendacja
Zaktualizuj pfSense Plus do wersji 26.07 lub nowszej, a pfSense CE do 2.9.0 lub nowszej, aby usunąć lukę LFI w obsłudze sekwencji widgetów.
Inne podatności w pfSense
Zobacz wszystkie- CVE-2026-78902Średnie
W Netgate pfSense w wersji 26.03.1-RELEASE występuje podatność XSS, która umożliwia atakującemu wykonanie dowolnego kodu w kontekście przeglądarki ofiary poprzez pakiet pfBlockerNG.
- CVE-2026-78849Średnie
Podatność na Cross-Site Scripting (XSS) w oprogramowaniu Netgate pfSense Plus (wersje <= 26.03) i pfSense CE (wersje <= 2.8.1) występuje w pliku captive_portal_status.widget.php. Zdalny atakujący może wykorzystać tę podatność do wykonania dowolnego kodu w przeglądarce ofiary.
- CVE-2026-38961Średnie
Podatność na Cross-Site Scripting (XSS) w widżecie RSS w Netgate pfSense Plus (wersje 26.03, 25.11.1) i pfSense CE (wersja 2.8.1) pozwala zdalnym uwierzytelnionym atakującym na wstrzyknięcie dowolnego JavaScriptu poprzez złośliwą treść w tytule kanału RSS. Wstrzyknięty skrypt wykonuje się w przeglądarce każdego uwierzytelnionego użytkownika, który przegląda pulpit nawigacyjny, z powodu niedostatecznej sanityzacji danych tytułu przed renderowaniem w widżecie.
- CVE-2026-56128Średnie
pfSense Plus przed 26.07 i CE przed 2.9.0 pozwalają uwierzytelnionym użytkownikom z uprawnieniem Firewall: Schedules: Edit na wstrzykiwanie dowolnego JavaScript przez parametr descr w /firewall_schedule_edit.php. Opis harmonogramu jest przechowywany bez sanityzacji HTML i następnie wstawiany do wartości atrybutu HTML w /firewall_rules.php z zastosowaniem tylko escapowania pojedynczych cudzysłowów, co umożliwia wyjście poza podwójny cudzysłów. Payload wykonuje się w przeglądarce każdego użytkownika z uprawnieniem Firewall: Rules, który przegląda listę reguł z dotkniętym harmonogramem.
- CVE-2026-56127Średnie
pfSense Plus przed 26.07 i CE przed 2.9.0 pozwalają uwierzytelnionym użytkownikom z uprawnieniem Firewall: Rules: Edit na wstrzykiwanie dowolnego JavaScript przez parametr descr w /firewall_rules_edit.php. Opis reguły jest przechowywany w konfiguracji XML pfSense z zastosowaniem tylko escapowania backslash i bez sanityzacji HTML, a następnie renderowany bez kodowania w tabeli logów firewalla w /status_logs_filter.php. Payload wykonuje się w przeglądarce każdego użytkownika z uprawnieniem Status: Logs: Firewall, który przegląda dotknięte wpisy logów.
- CVE-2026-56126Średnie
pfSense Plus przed 26.07 i CE przed 2.9.0 pozwalają uwierzytelnionym użytkownikom z uprawnieniem Status: Monitoring na wstrzykiwanie dowolnego JavaScript przez parametry konfiguracji wykresów w /status_monitoring.php. Wiele parametrów POST, w tym graph-left, graph-right, time-period, resolution, start-date, end-date, start-time, end-time, graph-type, invert i refresh-interval, jest łączonych i zapisywanych do globalnej konfiguracji XML pfSense bez sanityzacji, a następnie wyświetlanych bez sanityzacji w kontekście ciągu JavaScript podczas renderowania strony. Ponieważ ustawienie jest przechowywane w globalnej konfiguracji, payload wykonuje się w przeglądarce każdego użytkownika odwiedzającego stronę Status: Monitoring.
- CVE-2026-67189Średnie
pfSense Plus (przed 26.07) i pfSense CE (do 2.8.1) zawierają podatność XSS (przechowywane) w funkcji Traffic Graphs top-talkers. Rekordy PTR z odwrotnego DNS są wstawiane bez sanityzacji do odpowiedzi AJAX i renderowane jako HTML w interfejsie administratora. Atakujący kontrolujący rekord PTR i generujący wystarczający ruch może wykonać dowolny JavaScript w przeglądarce administratora, uzyskując dostęp do sesji i możliwość tworzenia kont oraz wykonywania poleceń OS.
- CVE-2024-57273Średnie
Podatność XSS w usłudze automatycznego tworzenia kopii zapasowych konfiguracji (ACB) w systemie pfSense CE (przed wersją 2.8.0 beta) i odpowiadających mu wersjach Plus pozwala zdalnym atakującym na wykonanie dowolnego kodu JavaScript, usunięcie kopii zapasowych lub wyciek wrażliwych informacji poprzez niesanitowane pole 'reason' oraz pochodny klucz urządzenia generowany z publicznego klucza SSH.
Oryginalny opis (angielski, źródło NVD)
In Netgate pfSense Plus before 26.07 and pfSense CE before 2.9.0, a Local File Inclusion (LFI) vulnerability in the Dashboard (index.php) widget sequence data handling allows an authenticated attacker to execute arbitrary PHP code. To exploit this, an attacker with privileges to modify Dashboard settings and write arbitrary files to the pfSense firewall system (e.g., /tmp/test.widget.php) can submit a crafted widget sequence value containing a path traversal payload (e.g., ../../../../../../../../../../../tmp/test). The Dashboard will subsequently read and execute the arbitrary PHP file as if it were a standard widget.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS