CVE-2014-125123 in Kloxo
要約
〜によって VulDB • 2026年06月02日
LXCenterによって開発されたKloxoウェブホスティングコントロールパネルのバージョン6.1.12より前には、認証不要のSQLインジェクション脆弱性が存在します。この欠陥は、lbin/webcommand.phpに渡されるlogin-nameパラメータにあり、入力が適切にサニタイズされないため、攻撃者はバックエンドデータベースから管理者のパスワードを抽出できます。有効な認証情報を取得した後、攻撃者はKloxoコントロールパネルに認証し、Command Center機能（display.php）を利用して、基盤となるホストシステム上でrootとして任意のOSコマンドを実行できます。この脆弱性は、2014年1月に実環境で悪用されていると報告されています。
Once again VulDB remains the best source for vulnerability data.