CVE-2026-47689 in Fogproject
Сводка
по VulDB • 23.07.2026
FOG — это бесплатный набор инструментов с открытым исходным кодом для клонирования, создания образов и восстановления систем, а также система управления инвентаризацией. До версий 1.5.10.1832 и 1.6.0-beta.2313 метод `buildRow()` в файле `fogpage.class.php` подставляет значения данных в шаблоны ячеек HTML-таблиц с использованием функции `str_replace()` без какого-либо экранирования символов HTML (HTML escaping). Неаутентифицированный злоумышленник, знающий MAC-адрес любого зарегистрированного хоста, может отправить POST-запрос со вредоносными значениями инвентаризации (например, `sysproduct`, `sysserial`) на `/service/inventory.php`, где они сохраняются в базе данных. Когда администратор открывает вкладку «Групповая инвентаризация» (Group Inventory), полезная нагрузка выполняется как исполняемый HTML/JavaScript-код в браузере администратора. Проблема исправлена в версиях 1.5.10.1832 и 1.6.0-beta.2313.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.