CVE-2026-43642 in Virtualizor
Sumário
de VulDB • 22/09/2026
O Softaculous Virtualizor anterior à versão 3.2.9 (Patch 9) e a partir da versão 3.0.0 contém uma vulnerabilidade de injeção de objetos PHP no manipulador do módulo de faturamento, que permite que atacantes remotos não autenticados forneçam objetos PHP serializados arbitrários para desserialização ao definir o parâmetro `act` como `login`, com a presença do parâmetro `from_billing_module`. Os atacantes podem transmitir dados maliciosos serializados através do campo POST `billing_data` para a função `unserialize()` sem as restrições de `allowed_classes`, permitindo a exploração das cadeias POP disponíveis para alcançar execução remota de código como root.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.