CVE-2026-47689 in Fogproject
Zusammenfassung
von VulDB • 22.07.2026
FOG ist eine kostenlose Open-Source-Suite für Klonen, Imaging und Wiederherstellung sowie ein System zur Inventarverwaltung. Vor den Versionen 1.5.10.1832 und 1.6.0-beta.2313 ersetzt die Methode `buildRow()` in `fogpage.class.php` Datenwerte in HTML-Tabellenzellen-Vorlagen unter Verwendung von `str_replace()`, ohne dass eine HTML-Escaping-Funktion angewendet wird. Ein nicht authentifizierter Angreifer, der die MAC-Adresse eines registrierten Hosts kennt, kann bösartige Inventarwerte (z. B. `sysproduct`, `sysserial`) an `/service/inventory.php` senden (POST), wo diese in der Datenbank gespeichert werden. Wenn ein Administrator den Tab „Group Inventory“ öffnet, wird das Payload als ausführbarer HTML-/JavaScript-Code im Browser des Administrators gerendert. Die Versionen 1.5.10.1832 und 1.6.0-beta.2313 beheben dieses Problem.
If you want to get best quality of vulnerability data, you may have to visit VulDB.