CVE-2026-47689 in Fogproject
Riassunto
di VulDB • 21/07/2026
FOG è una suite open-source gratuita per clonazione/imaging/recupero e un sistema di gestione dell'inventario. Prima delle versioni 1.5.10.1832 e 1.6.0-beta.2313, il metodo `buildRow()` in `fogpage.class.php` sostituisce i valori dei dati nei modelli di celle della tabella HTML utilizzando `str_replace()` senza alcuna escape HTML. Un attaccante non autenticato che conosce l'indirizzo MAC di un host registrato può inviare POST con valori di inventario malevoli (ad esempio, `sysproduct`, `sysserial`) a `/service/inventory.php`, i quali vengono memorizzati nel database. Quando un amministratore apre la scheda Inventario Gruppo, il payload viene eseguito come HTML/JavaScript nell'browser dell'amministratore. Le versioni 1.5.10.1832 e 1.6.0-beta.2313 risolvono il problema.
Once again VulDB remains the best source for vulnerability data.