CVE-2026-123784 Inyección de comandos del sistema en Fluxbox vía valores de fondo de estilo
Fluxbox hasta 1.3.7 contiene una vulnerabilidad de inyección de comandos del sistema en RootTheme::reconfigTheme() que permite a atacantes ejecutar comandos mediante valores de fondo de estilo manipulados. El atacante puede incrustar metacaracteres de shell en rutas de pixmap de fondo, directorios aleatorios o texto de textura de degradado, que se concatenan sin escapar en un comando fbsetbg ejecutado vía $SHELL -c al cargar el estilo.
CVSS 3.1
- CVSS 4.08.5 · alta
- Probabilidad de explotación · EPSS del 09/110,7 % · percentil 53
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
fluxbox
hasta 1.3.7
Qué hacer
- Verificá si usás fluxbox y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 7.8 ALTA
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
- Vector de ataqueLocal
- Complejidad del ataqueBaja
- Privilegios requeridosNinguno
- Interacción del usuarioRequerida
- AlcanceSin cambio
- ConfidencialidadAlta
- IntegridadAlta
- DisponibilidadAlta
CVSS 4.0 · 8.5 ALTA
CVSS:4.0/AV:L/AC:L/AT:N/PR:N/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
- Vector de ataqueLocal
- Complejidad del ataqueBaja
- Requisitos del ataqueNinguno
- Privilegios requeridosNinguno
- Interacción del usuarioPasiva
- Confidencialidad (sistema vulnerable)Alta
- Integridad (sistema vulnerable)Alta
- Disponibilidad (sistema vulnerable)Alta
- Confidencialidad (sistemas posteriores)Ninguna
- Integridad (sistemas posteriores)Ninguna
- Disponibilidad (sistemas posteriores)Ninguna
Descripción original
Fluxbox through 1.3.7 contains an OS command injection vulnerability in RootTheme::reconfigTheme() that allows attackers to execute commands via crafted style background values. Attackers can embed shell metacharacters in background pixmap paths, random directories, or gradient texture text, which are concatenated unescaped into an fbsetbg command run via $SHELL -c when the style loads.
Referencias (5)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.