CVSS: 8.8EPSS: 0%CPEs: 1EXPL: 2CVE-2019-16667 – pfSense 2.4.4-p3 - Cross-Site Request Forgery
https://notcve.org/view.php?id=CVE-2019-16667
diag_command.php in pfSense 2.4.4-p3 allows CSRF via the txtCommand or txtRecallBuffer field, as demonstrated by executing OS commands. This occurs because csrf_callback() produces a "CSRF token expired" error and a Try Again button when a CSRF token is missing. El archivo diag_command.php en pfSense versión 2.4.4-p3, permite un ataque de tipo CSRF por medio del campo txtCommand o txtRecallBuffer, como es demostrado mediante la ejecución de comandos de Sistema Operativo. Esto se presenta porque la función csrf_callback() produce un error de "CSRF token expired" y un botón Try Again cuando un token CSRF está faltando. pfSense version 2.4.4-p3 suffers from a cross site request forgery vulnerability. • https://www.exploit-db.com/exploits/48714 http://packetstormsecurity.com/files/158614/pfSense-2.4.4-p3-Cross-Site-Request-Forgery.html https://pastebin.com/TEJdu9LN • CWE-352: Cross-Site Request Forgery (CSRF) •
CVSS: 6.1EPSS: 0%CPEs: 5EXPL: 0CVE-2019-16914
https://notcve.org/view.php?id=CVE-2019-16914
An XSS issue was discovered in pfSense through 2.4.4-p3. In services_captiveportal_mac.php, the username and delmac parameters are displayed without sanitization. Se descubrió un problema de tipo XSS en pfSense versiones hasta 2.4.4-p3. En el archivo services_captiveportal_mac.php, los parámetros username y delmac se muestran sin saneamiento. • https://github.com/pfsense/pfsense/commit/d31362b69d5d52dc196dc72f66e830cd1e6e9a4f https://redmine.pfsense.org/issues/9609 https://www.seebug.org/vuldb/ssvid-98023 • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 9.8EPSS: 0%CPEs: 5EXPL: 0CVE-2019-16915
https://notcve.org/view.php?id=CVE-2019-16915
An issue was discovered in pfSense through 2.4.4-p3. widgets/widgets/picture.widget.php uses the widgetkey parameter directly without sanitization (e.g., a basename call) for a pathname to file_get_contents or file_put_contents. Se descubrió un problema en pfSense versiones hasta 2.4.4-p3. El archivo widgets/widgets/picture.widget.php utiliza el parámetro widgetkey directamente sin saneamiento (por ejemplo, una llamada basename) para un nombre de ruta en file_get_contents o file_put_contents. • https://github.com/pfsense/pfsense/commit/2c544ac61ce98f716d50b8e5961d7dfba66804b5 https://redmine.pfsense.org/issues/9610 https://www.seebug.org/vuldb/ssvid-98024 • CWE-22: Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') •
CVSS: 9.0EPSS: 9%CPEs: 5EXPL: 3CVE-2019-16701 – Pfsense 2.3.4 / 2.4.4-p3 - Remote Code Injection
https://notcve.org/view.php?id=CVE-2019-16701
pfSense through 2.3.4 through 2.4.4-p3 allows Remote Code Injection via a methodCall XML document with a pfsense.exec_php call containing shell metacharacters in a parameter value. pfSense versiones de 2.3.4 hasta 2.4.4-p3, permite la inyección de código remota por medio de un documento XML de MethodCall con una llamada del archivo pfsense.exec_php que contiene metacaracteres de shell en un valor de parámetro. • https://www.exploit-db.com/exploits/47413 http://packetstormsecurity.com/files/154587/pfSense-2.3.4-2.4.4-p3-Remote-Code-Injection.html https://github.com/pfsense/pfsense/commits/master https://hackernews.blog/pfsense-2-3-4-2-4-4-p3-remote-code-injection/#more • CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') •
CVSS: 6.1EPSS: 0%CPEs: 2EXPL: 1CVE-2019-12949
https://notcve.org/view.php?id=CVE-2019-12949
In pfSense 2.4.4-p2 and 2.4.4-p3, if it is possible to trick an authenticated administrator into clicking on a button on a phishing page, an attacker can leverage XSS to upload arbitrary executable code, via diag_command.php and rrd_fetch_json.php (timePeriod parameter), to a server. Then, the remote attacker can run any command with root privileges on that server. En pfSense versiones 2.4.4-p2 y 2.4.4-p3, si es posible engañar a un administrador autenticado para que haga cliquee sobre un botón en una página de phishing, un atacante puede aprovechar un XSS para cargar código ejecutable arbitrario, por medio de los archivos diag_command.php y rrd_fetch_json .php (parámetro timePeriod), hacia un servidor. Después, el atacante remoto puede ejecutar cualquier comando con privilegios root en ese servidor. • https://github.com/tarantula-team/CVE-2019-12949 • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •