CVE-2026-65638

El escape incorrecto de una URL de solicitud en ConfigServer Security & Firewall permite que un atacante remoto no autenticado ejecute comandos arbitrarios como la cuenta de servicio de CSF mediante una inyección de comandos de shell. La vulnerabilidad afecta a las versiones del software distribuidas originalmente por ConfigServer, así como a las versiones del fork mantenido por WebPros que contienen el código vulnerable. WebPros ha solucionado la vulnerabilidad en la versión 16.30. Otros forks o versiones de ConfigServer Security & Firewall (CSF) mantenidas de forma independiente también pueden verse afectadas y deben evaluarse de forma independiente.