CVE-2026-43641
KrytyczneCVSS 9.8Streszczenie
Softaculous Virtualizor przed wersją 3.2.9 (Patch 9) i 3.0.0 zawiera podatność na wstrzykiwanie poleceń systemu operacyjnego w module obsługi rozliczeń, która pozwala nieuwierzytelnionym zdalnym atakującym na wykonanie dowolnych poleceń jako root poprzez ominięcie uwierzytelniania za pomocą określonych kombinacji parametrów. Atakujący mogą zdeserializować spreparowane pole billing_data POST i wstrzyknąć ładunki powłoki przez pole uid, które jest przekazywane bez modyfikacji do proc_open() przez vexec(), co daje pełną kontrolę nad hostem i wszystkimi zarządzanymi instancjami VPS.
Ocena ryzyka
Ryzyko jest krytyczne: nieuwierzytelniony atakujący może uzyskać pełną kontrolę nad serwerem i wszystkimi maszynami wirtualnymi, co prowadzi do całkowitej kompromitacji infrastruktury.
Rekomendacja
Należy natychmiast zaktualizować Softaculous Virtualizor do wersji 3.2.9 (Patch 9) lub nowszej oraz ograniczyć dostęp do panelu administracyjnego tylko z zaufanych adresów IP.
Inne podatności w Softaculous Virtualizor
Zobacz wszystkie- CVE-2026-43643Wysokie
Softaculous Virtualizor przed wersją 3.2.9 (Patch 9) i 3.0.0 zawiera lukę obejścia autoryzacji w module rozliczeniowym, która pozwala nieuwierzytelnionym zdalnym atakującym modyfikować saldo dowolnego najemcy poprzez dostarczenie spreparowanych parametrów act i from_billing_module do dyspozytora panelu administracyjnego. Atakujący mogą wysłać żądanie POST z dowolnymi wartościami uid i balance w polu billing_data, aby wywołać nieuwierzytelnioną parametryzowaną aktualizację tabeli użytkowników, umożliwiając manipulację saldem konta i potencjalne automatyczne zawieszenie usług dla wybranych kont.
- CVE-2026-43642Wysokie
Softaculous Virtualizor przed wersją 3.2.9 (Patch 9) i 3.0.0 zawiera lukę wstrzyknięcia obiektu PHP w module rozliczeniowym, która pozwala nieuwierzytelnionym zdalnym atakującym dostarczyć dowolne serializowane obiekty PHP do deserializacji poprzez ustawienie parametru act na login z obecnym parametrem from_billing_module. Atakujący mogą przekazać złośliwe serializowane dane przez pole POST billing_data do funkcji unserialize() bez ograniczeń allowed_classes, umożliwiając wykorzystanie dostępnych łańcuchów POP do osiągnięcia zdalnego wykonania kodu jako root.
Oryginalny opis (angielski, źródło NVD)
Softaculous Virtualizor before 3.2.9 (Patch 9) and 3.0.0 contains an OS command injection vulnerability in the billing module handler that allows unauthenticated remote attackers to execute arbitrary commands as root by bypassing authentication through specific parameter combinations. Attackers can deserialize a crafted billing_data POST field and inject shell payloads through the uid field, which is passed unmodified to proc_open() via vexec(), yielding complete control of the host and all managed VPS instances.