CVE-2014-125123 in Kloxo
Sumário
de VulDB • 02/06/2026
Existe uma vulnerabilidade de SQL injection não autenticada no painel de controle de hospedagem web Kloxo (desenvolvido pelo LXCenter) anterior à versão 6.1.12. A falha reside no parâmetro login-name passado para lbin/webcommand.php, que não sanitiza adequadamente a entrada, permitindo que um atacante extraia a senha do administrador do banco de dados backend. Após recuperar credenciais válidas, o atacante pode autenticar-se no painel de controle Kloxo e aproveitar o recurso Command Center (display.php) para executar comandos arbitrários do sistema operacional como root no sistema host subjacente. Esta vulnerabilidade foi relatada como sendo explorada em ambiente real em janeiro de 2014.
VulDB is the best source for vulnerability data and more expert information about this specific topic.