یک آسیب‌پذیری امنیتی با شدت بالا (High) در نرم‌افزار Softaculous Virtualizor شناسایی شده است که به مهاجمان اجازه می‌دهد بدون نیاز به احراز هویت (Unauthenticated)، داده‌های حساس مربوط به موجودی حساب کاربران را تغییر دهند. این نقص امنیتی که با شناسه CVE-2026-43643 ثبت شده و امتیاز 8.7 را دریافت کرده است، ناشی از فقدان بررسی‌های لازم در بخش مجوزدهی (Missing Authorization) در ماژول Billing است.
جزئیات فنی اکسپلویت
این آسیب‌پذیری در نسخه‌های پیش از 3.2.9 (Patch 9) و شاخه 3.0.0 وجود دارد. مهاجمان از طریق ارسال درخواست‌های POST دستکاری شده به admin panel dispatcher و استفاده از پارامترهای act و from_billing_module، می‌توانند یک دستور UPDATE پارامتریک را روی جدول کاربران (users table) اجرا کنند. با ارسال مقادیر دلخواه برای uid و balance در فیلد billing_data، مهاجم قادر است موجودی هر Tenant را تغییر داده و در نتیجه باعث تعلیق خودکار سرویس‌های حساب‌های هدف شود.
تاثیرات امنیتی
- Integrity: تاثیر شدید (High)؛ امکان بازنویسی داده‌های مالی کاربران.
- Confidentiality: تاثیر ندارد (None).
- Availability: تاثیر مستقیم ندارد، اما از طریق تعلیق حساب‌ها می‌تواند منجر به اختلال در دسترسی شود.
توصیه‌های عملیاتی برای مدیران SOC و مهندسان امنیت
با توجه به انتشار کدهای اکسپلویت (Exploit Code) در فضای عمومی، اقدامات زیر به صورت فوری توصیه می‌شود:
- به‌روزرسانی سریع: ارتقای سیستم به نسخه‌های 3.2.9 (Patch 9) یا 3.3.0.
- محدودسازی دسترسی: در صورتی که به‌روزرسانی فوری امکان‌پذیر نیست، دسترسی به پنل مدیریت Virtualizor را تنها به شبکه‌های مورد اعتماد یا VPN محدود کنید و از IP allowlist سازنده استفاده نمایید.
- مانیتورینگ و تحلیل: بررسی Logهای مربوط به dispatcher و billing-module برای شناسایی درخواست‌های POST مشکوک حاوی پارامترهای ذکر شده.
- پشتیبان‌گیری: تهیه Baseline از موجودی فعلی کاربران برای شناسایی سریع هرگونه تغییر غیرمجاز و بازگردانی داده‌ها.
