CVE-2026-67189

Nome do Software Vulnerável e Versões Afetadas pfSense Plus versões anteriores a 26.07 pfSense CE versões anteriores a 2.8.2

Descrição Um problema de cross-site scripting armazenado existe no recurso top-talkers dos Gráficos de Tráfego. O sistema incorpora registros PTR (ponteiros usados em consultas DNS reversas para mapear um endereço IP a um nome de host) retornados por consultas DNS reversas em respostas AJAX sem sanitização. Esses registros são então renderizados como HTML através de um DOM sink na interface do administrador. Um invasor que controle um registro PTR e gere tráfego suficiente para aparecer como um top talker pode executar JavaScript arbitrário no navegador de um administrador. Isso permite que o invasor acesse o contexto da sessão autenticada e a interface de gerenciamento do firewall, podendo levar à criação de novas contas e à execução de comandos arbitrários no sistema operacional.

Recomendações Atualize o pfSense Plus para a versão 26.07 ou posterior. Atualize o pfSense CE para a versão 2.8.2 ou posterior.