CVE-2026-43641criticalCWE-78

CVE-2026-43641: fallo crítico en Softaculous Virtualizor

Softaculous Virtualizor OS Command Injection via Billing Module Handler

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear Virtualizor

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

48Vexday Risk Score

Sin señal de explotación. Ella tiene prueba de concepto pública.

ssvc Attendcvss 9.3epss 3.0%
Softaculous Virtualizor before 3.2.9 (Patch 9) and 3.0.0 contains an OS command injection vulnerability in the billing module handler that allows unauthenticated remote attackers to execute arbitrary commands as root by bypassing authentication through specific parameter combinations. Attackers can deserialize a crafted billing_data POST field and inject shell payloads through the uid field, which is passed unmodified to proc_open() via vexec(), yielding complete control of the host and all managed VPS instances.
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
Productos afectados
Softaculous · Virtualizor
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — Softaculous Virtualizor

En el mismo producto, de las más peligrosas a las menos.

CVE-2026-43642CRITICALSoftaculous Virtualizor PHP Object Injection via Billing Module HandlerEPSS 1.0%CVE-2026-43643HIGHSoftaculous Virtualizor Authorization Bypass via Billing Module HandlerEPSS 0.6%