جزئیات آسیب‌پذیری
CVE-2026-123784
fluxbox fluxbox
Fluxbox through 1.3.7 OS Command Injection via Style Background Values
CVSS 4.0
8.5بالا
شرح رسمی (انگلیسی)
Fluxbox through 1.3.7 contains an OS command injection vulnerability in RootTheme::reconfigTheme() that allows attackers to execute commands via crafted style background values. Attackers can embed shell metacharacters in background pixmap paths, random directories, or gradient texture text, which are concatenated unescaped into an fbsetbg command run via $SHELL -c when the style loads.
امتیازهای CVSS
| امتیاز | نسخه | منبع | بردار |
|---|---|---|---|
| 8.5بالا | 4.0 | CVEProject cvelistV5 (CNA) (VulnCheck) | CVSS:4.0/AV:L/AC:L/AT:N/PR:N/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N |
| 7.8بالا | 3.1 | CVEProject cvelistV5 (CNA) (VulnCheck) | CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H |
محصولات آسیب‌پذیر
| فروشنده | محصول | نسخه‌ها | منبع |
|---|---|---|---|
| fluxbox | fluxbox | v ≤ 1.3.7 | CVEProject cvelistV5 (CNA) |
منابع و راهنماها
۵- https://github.com/fluxbox/fluxbox/pull/89 issue-trackingpatch
- https://github.com/fluxbox/fluxbox product
- https://github.com/fluxbox/fluxbox/commit/270bfbc28573037c9b8458488d193b219e33889f patch
- https://github.com/fluxbox/fluxbox/blob/Release-1_3_7/src/RootTheme.cc#L192-L264 technical-description
- https://www.vulncheck.com/advisories/fluxbox-through-1.3.7-os-command-injection-via-style-background-values third-party-advisory
هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.
اطلاعات
- تاریخ انتشار
- ۱۴۰۵/۰۸/۱۵
- آخرین به‌روزرسانی
- ۱۴۰۵/۰۸/۱۵
- وضعیت
- منتشرشده
- صادرکننده (CNA)
- VulnCheck
پیش‌بینی بهره‌برداری (EPSS)
۰٫۷٪
احتمال بهره‌برداری در ۳۰ روز
۵۳٫۶٪
صدک (نسبت به همه‌ی CVEها)
ضعف‌ها (CWE)
- CWE-78Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection')