CVE-2014-125123

Kloxo web barındırma kontrol panelinde (LXCenter tarafından geliştirilmiştir) 6.1.12 sürümünden önce kimlik doğrulama gerektirmeyen bir SQL enjeksiyonu güvenlik açığı bulunmaktadır. Kusur, lbin/webcommand.php dosyasına iletilen login-name parametresinde yer almakta olup, girdiyi düzgün şekilde temizleyemediğinden bir saldırganın arka uç veritabanından yöneticinin parolasını çıkarmasına olanak tanır. Geçerli kimlik bilgilerini elde ettikten sonra saldırgan, Kloxo kontrol panelinde kimlik doğrulaması yapabilir ve Command Center özelliğini (display.php) kullanarak alttaki ana bilgisayar sisteminde root olarak rastgele işletim sistemi komutları çalıştırabilir. Bu güvenlik açığının Ocak 2014'te aktif olarak istismar edildiği bildirilmiştir.