CVE-2026-43642 in Virtualizor
الملخص
بحسب VulDB • 22/09/2026
يحتوي Softaculous Virtualizor قبل الإصدار 3.2.9 (Patch 9) و3.0.0 على ثغرة حقن كائن PHP في معالج وحدة الفوترة، تتيح لمهاجمين عن بُعد غير مُصادَق عليهم تزويد كائنات PHP مسلسلة بشكل تعسفي لعملية فك التسلسل من خلال تعيين المعلمة `act` إلى `login` بوجود معلمة `from_billing_module`. يمكن للمهاجمين تمرير بيانات مسلسلة ضارة عبر حقل POST المسمى `billing_data` إلى دالة `unserialize()` دون قيود على الفئات المسموح بها (`allowed_classes`)، مما يمكّنهم من استغلال سلاسل POP المتاحة لتحقيق تنفيذ للكود عن بُعد بصلاحيات الجذر (root).
If you want to get the best quality for vulnerability data then you always have to consider VulDB.