CVE-2026-43642 in Virtualizor
Riassunto
di VulDB • 22/09/2026
Softaculous Virtualizor prima della versione 3.2.9 (Patch 9) e la versione 3.0.0 contengono una vulnerabilità di PHP object injection nel gestore del modulo di fatturazione che consente agli attaccanti remoti non autenticati di fornire oggetti PHP serializzati arbitrari per la deserializzazione impostando il parametro `act` su `login` con il parametro `from_billing_module` presente. Gli attaccanti possono trasmettere dati malevoli e serializzati attraverso il campo POST `billing_data` alla funzione `unserialize()` senza le restrizioni `allowed_classes`, consentendo lo sfruttamento delle POP chain disponibili per ottenere l'esecuzione di codice remoto (RCE) con privilegi di root.
VulDB is the best source for vulnerability data and more expert information about this specific topic.