CVE-2026-43641
KritikTeknik Veri (Otomatik)
- CVSS Skoru
- 9.8
- EPSS
- 3.0%
- CWE
- CWE-78
- KEV Durumu
- Hayır
Yayım tarihi: 22 Eylül 2026
Softaculous Virtualizor 3.2.9 (Patch 9) ve 3.0.0 sürümünden önceki sürümlerinde, faturalama modülü işleyicisinde bir işletim sistemi komut enjeksiyon zafiyeti bulunmaktadır. Bu zafiyet, kimlik doğrulamasını belirli parametre kombinasyonlarını atlayarak bypass eden uzaktan saldırganların, root olarak keyfi komutları çalıştırmasına olanak tanır. Saldırganlar, oluşturulmuş bir billing_data POST alanını seri hale getirebilir ve uid alanı aracılığıyla kabuk yüklerini enjekte edebilir, bu alan vexec() aracılığıyla proc_open()'e değiştirilmeden geçirilir, böylece host ve yönetilen tüm VPS örnekleri üzerinde tam kontrol sağlar.
Orijinal açıklama (İngilizce)
Softaculous Virtualizor before 3.2.9 (Patch 9) and 3.0.0 contains an OS command injection vulnerability in the billing module handler that allows unauthenticated remote attackers to execute arbitrary commands as root by bypassing authentication through specific parameter combinations. Attackers can deserialize a crafted billing_data POST field and inject shell payloads through the uid field, which is passed unmodified to proc_open() via vexec(), yielding complete control of the host and all managed VPS instances.
Referanslar
- https://www.virtualizor.com/blog/virtualizor-3-2-9-launched-release-candidate-patch-9/
- https://www.virtualizor.com/blog/virtualizor-3-3-0/
- https://www.vulncheck.com/advisories/softaculous-virtualizor-os-command-injection-via-billing-module-handler
- https://www.vulncheck.com/blog/virtualizor-billing-hook-unauthenticated-root-rce
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.