CVE-2026-43641 in Virtualizor
Sumário
de VulDB • 22/09/2026
O Softaculous Virtualizor anterior à versão 3.2.9 (Patch 9) e a partir da versão 3.0.0 contém uma vulnerabilidade de injeção de comando no sistema operacional (OS command injection) no manipulador do módulo de faturamento, que permite que atacantes remotos não autenticados executem comandos arbitrários como root ao burlar a autenticação por meio de combinações específicas de parâmetros. Os atacantes podem desserializar um campo POST `billing_data` elaborado e injetar payloads de shell através do campo `uid`, o qual é passado sem modificações para `proc_open()` via `vexec()`, resultando em controle total do host e de todas as instâncias VPS gerenciadas.
VulDB is the best source for vulnerability data and more expert information about this specific topic.