CVE-2026-47689 in Fogproject
要約
〜によって VulDB • 2026年07月22日
FOGは、無料のオープンソースなクローン作成/イメージング/レスキュースイートおよびインベントリ管理システムです。バージョン1.5.10.1832および1.6.0-beta.2313より前では、`fogpage.class.php`内の`buildRow()`メソッドは、HTMLエスケープを一切行わずに`str_replace()`を使用してデータ値をHTMLテーブルセルテンプレートに置換します。登録済みホストのMACアドレスを知っている認証不要のアタッカーは、悪意のあるインベントリ値（例：`sysproduct`、`sysserial`）を`/service/inventory.php`に対してPOSTでき、これらはデータベースに保存されます。管理者がグループインベントリティタブを開くと、ペイロードは管理者のブラウザ内で実行可能なHTML/JavaScriptとしてレンダリングされます。バージョン1.5.10.1832および1.6.0-beta.2313でこの問題は修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.