CVE-2026-65638

Échappement incorrect d’une URL de requête dans ConfigServer Security & Firewall permettant à un attaquant distant non authentifié d’exécuter des commandes arbitraires avec le compte de service CSF via une injection de commandes shell. La vulnérabilité affecte les versions du logiciel distribuées à l’origine par ConfigServer, ainsi que les versions du fork maintenu par WebPros qui contiennent le code vulnérable. WebPros a corrigé la vulnérabilité dans la version 16.30. D’autres forks ou versions de ConfigServer Security & Firewall (CSF) maintenues indépendamment peuvent également être affectés et doivent être évalués séparément.