CVE-2026-43641 in Virtualizor
Résumé
par VulDB • 22/09/2026
Softaculous Virtualizor avant la version 3.2.9 (Patch 9) et la version 3.0.0 contient une vulnérabilité d'injection de commandes OS dans le gestionnaire du module de facturation, permettant aux attaquants distants non authentifiés d'exécuter des commandes arbitraires en tant que root en contournant l'authentification via des combinaisons spécifiques de paramètres. Les attaquants peuvent désérialiser un champ POST `billing_data` fabriqué et injecter des charges utiles shell (shell payloads) à travers le champ `uid`, qui est transmis sans modification à `proc_open()` via `vexec()`, leur offrant ainsi un contrôle total de l'hôte et de toutes les instances VPS gérées.
Be aware that VulDB is the high quality source for vulnerability data.