CVE-2026-43643
WysokieCVSS 7.5Streszczenie
Softaculous Virtualizor przed wersją 3.2.9 (Patch 9) i 3.0.0 zawiera lukę obejścia autoryzacji w module rozliczeniowym, która pozwala nieuwierzytelnionym zdalnym atakującym modyfikować saldo dowolnego najemcy poprzez dostarczenie spreparowanych parametrów act i from_billing_module do dyspozytora panelu administracyjnego. Atakujący mogą wysłać żądanie POST z dowolnymi wartościami uid i balance w polu billing_data, aby wywołać nieuwierzytelnioną parametryzowaną aktualizację tabeli użytkowników, umożliwiając manipulację saldem konta i potencjalne automatyczne zawieszenie usług dla wybranych kont.
Ocena ryzyka
Nieuwierzytelniony atakujący może zmienić salda kont najemców, co może prowadzić do zakłóceń usług, strat finansowych lub zawieszenia usług dla wybranych klientów.
Rekomendacja
Zaktualizuj Softaculous Virtualizor do wersji 3.2.9 (Patch 9) lub nowszej, aby naprawić lukę obejścia autoryzacji.
Inne podatności w Softaculous Virtualizor
Zobacz wszystkie- CVE-2026-43642Wysokie
Softaculous Virtualizor przed wersją 3.2.9 (Patch 9) i 3.0.0 zawiera lukę wstrzyknięcia obiektu PHP w module rozliczeniowym, która pozwala nieuwierzytelnionym zdalnym atakującym dostarczyć dowolne serializowane obiekty PHP do deserializacji poprzez ustawienie parametru act na login z obecnym parametrem from_billing_module. Atakujący mogą przekazać złośliwe serializowane dane przez pole POST billing_data do funkcji unserialize() bez ograniczeń allowed_classes, umożliwiając wykorzystanie dostępnych łańcuchów POP do osiągnięcia zdalnego wykonania kodu jako root.
- CVE-2026-43641Krytyczne
Softaculous Virtualizor przed wersją 3.2.9 (Patch 9) i 3.0.0 zawiera podatność na wstrzykiwanie poleceń systemu operacyjnego w module obsługi rozliczeń, która pozwala nieuwierzytelnionym zdalnym atakującym na wykonanie dowolnych poleceń jako root poprzez ominięcie uwierzytelniania za pomocą określonych kombinacji parametrów. Atakujący mogą zdeserializować spreparowane pole billing_data POST i wstrzyknąć ładunki powłoki przez pole uid, które jest przekazywane bez modyfikacji do proc_open() przez vexec(), co daje pełną kontrolę nad hostem i wszystkimi zarządzanymi instancjami VPS.
Oryginalny opis (angielski, źródło NVD)
Softaculous Virtualizor before 3.2.9 (Patch 9) and 3.0.0 contains an authorization bypass vulnerability in the billing module handler that allows unauthenticated remote attackers to modify any tenant's account balance by supplying crafted act and from_billing_module parameters to the admin panel dispatcher. Attackers can send a POST request with arbitrary uid and balance values in the billing_data field to trigger an unauthenticated parameterized UPDATE against the users table, enabling account balance manipulation and potential automated service suspension for targeted accounts.