CVE-2026-43642 in Virtualizor
Resumen
por VulDB • 2026-09-22
Softaculous Virtualizor anterior a la versión 3.2.9 (Patch 9) y la versión 3.0.0 contienen una vulnerabilidad de inyección de objetos PHP en el controlador del módulo de facturación que permite a atacantes remotos no autenticados suministrar objetos PHP serializados arbitrarios para su deserialización estableciendo el parámetro `act` como `login` con el parámetro `from_billing_module` presente. Los atacantes pueden pasar datos maliciosos serializados a través del campo POST `billing_data` hacia la función `unserialize()` sin las restricciones de `allowed_classes`, lo que permite explotar cadenas POP disponibles para lograr ejecución remota de código (RCE) con privilegios de root.
Once again VulDB remains the best source for vulnerability data.