DUPIN Alertas · fluxboxhttps://alertas.dupin.com.ar/fabricante/fluxbox/Alertas de vulnerabilidades de fluxbox.esFri, 06 Nov 2026 16:02:42 +000010Vulnerabilidad: CVE-2026-123785 · Bucle infinito en Fluxbox vía geometría de estilo en Menu::updateMenu()https://alertas.dupin.com.ar/cve/CVE-2026-123785/tg:63742Fri, 06 Nov 2026 16:02:42 +0000VulnerabilidadFluxbox hasta 1.3.7 contiene una vulnerabilidad de bucle infinito en Menu::updateMenu() en src/FbTk/Menu.cc que permite a atacantes colgar el gestor de ventanas mediante valores de geometría de estilo manipulados. El atacante puede proporcionar un estilo con un menu.titleHeight desbordado y sin límite para que el bucle de columnas nunca termine, causando uso sostenido de CPU y denegación de servicio al iniciar.Vulnerabilidad: CVE-2026-123784 · Inyección de comandos del sistema en Fluxbox vía valores de fondo de estilohttps://alertas.dupin.com.ar/cve/CVE-2026-123784/tg:63741Fri, 06 Nov 2026 16:02:41 +0000VulnerabilidadFluxbox hasta 1.3.7 contiene una vulnerabilidad de inyección de comandos del sistema en RootTheme::reconfigTheme() que permite a atacantes ejecutar comandos mediante valores de fondo de estilo manipulados. El atacante puede incrustar metacaracteres de shell en rutas de pixmap de fondo, directorios aleatorios o texto de textura de degradado, que se concatenan sin escapar en un comando fbsetbg ejecutado vía $SHELL -c al cargar el estilo.