CVE-2024-51378
Kritik CISA KEV: Aktif İstismarTeknik Veri (Otomatik)
- CVSS Skoru
- 10
- EPSS
- 94.7%
- CWE
- CWE-78
- KEV Durumu
- Evet
Yayım tarihi: 29 Ekim 2024 · CISA KEV son iyileştirme tarihi: 25 Aralık 2024
Etkilenen: cyberpanel cyberpanel
CyberPanel (yani Cyber Panel) 1c0c6cb öncesinde dns/views.py ve ftp/views.py'deki getresetstatus, uzak saldırganların /dns/getresetstatus veya /ftp/getresetstatus aracılığıyla kimlik doğrulamayı atlatmasına ve statusfile özelliğinde shell metakarakterlerini kullanarak keyfi komutları çalıştırmasına olanak tanır. Bu, yalnızca POST isteği için olan secMiddleware'ı atlayarak ve Ekim 2024'te PSAUX tarafından vahşi ortamda kullanılan bir yöntemle gerçekleştirilir. 2.3.6 ve (yamalı olmayan) 2.3.7 sürümleri etkilenir.
Orijinal açıklama (İngilizce)
getresetstatus in dns/views.py and ftp/views.py in CyberPanel (aka Cyber Panel) before 1c0c6cb allows remote attackers to bypass authentication and execute arbitrary commands via /dns/getresetstatus or /ftp/getresetstatus by bypassing secMiddleware (which is only for a POST request) and using shell metacharacters in the statusfile property, as exploited in the wild in October 2024 by PSAUX. Versions through 2.3.6 and (unpatched) 2.3.7 are affected.
Referanslar
- https://cwe.mitre.org/data/definitions/420.html
- https://cwe.mitre.org/data/definitions/78.html
- https://cyberpanel.net/KnowledgeBase/home/change-logs/
- https://cyberpanel.net/blog/detials-and-fix-of-recent-security-issue-and-patch-of-cyberpanel
- https://github.com/usmannasir/cyberpanel/commit/1c0c6cbcf71abe573da0b5fddfb9603e7477f683
- https://refr4g.github.io/posts/cyberpanel-command-injection-vulnerability/
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.