Към съдържанието
Търсене

CVE-2026-97730: Netgate pfSense Plus, обхождане на път

8.5

CVSS 3.1

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, при специфични условия, с обикновен потребителски вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: няма данни за експлоатация
  • Атаката не може да се автоматизира

Описание

Оригинално описание

In Netgate pfSense Plus before 26.07 and pfSense CE before 2.9.0, a Local File Inclusion (LFI) vulnerability in the Dashboard (index.php) widget sequence data handling allows an authenticated attacker to execute arbitrary PHP code. To exploit this, an attacker with privileges to modify Dashboard settings and write arbitrary files to the pfSense firewall system (e.g., /tmp/test.widget.php) can submit a crafted widget sequence value containing a path traversal payload (e.g., ../../../../../../../../../../../tmp/test). The Dashboard will subsequently read and execute the arbitrary PHP file as if it were a standard widget.

Засегнати продукти

  • Netgate pfSense Plus: преди 26.07
  • Netgate pfSense CE: преди 2.9.0

Вид слабост

История

  • 25 септември 2026 Публикувано

Други уязвимости в Netgate pfSense Plus

Първоизточници

CVE-2026-97730: Netgate pfSense Plus, обхождане на път | freedomonline.bg