CVE-2026-101010
ŚrednieCVSS 4.7Streszczenie
W aaPanel BaoTa do wersji 11.8.0 zidentyfikowano podatność SQL injection w funkcji getData w pliku /www/server/panel/class/data.py. Manipulacja argumentem log_type prowadzi do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny; producent nie odpowiedział na zgłoszenie.
Ocena ryzyka
Zdalny atakujący może wykonać dowolne zapytania SQL, co grozi wyciekiem lub modyfikacją danych. Publiczna dostępność exploitu zwiększa prawdopodobieństwo wykorzystania podatności.
Rekomendacja
Zaktualizuj aaPanel BaoTa do najnowszej wersji, jeśli dostępna jest poprawka, lub wdróż reguły WAF blokujące manipulację parametrem log_type. Ogranicz dostęp do panelu do zaufanych sieci.
Inne podatności w aaPanel BaoTa
Zobacz wszystkie- CVE-2026-101011Średnie
W aaPanel BaoTa do wersji 11.8.0 wykryto podatność SQL injection w funkcji get_domain_status w pliku /www/server/panel/mod/project/domain/domainMod.py (komponent Domain Handler). Manipulacja argumentem get pozwala na zdalne wstrzyknięcie SQL. Exploit został publicznie ujawniony, a producent nie odpowiedział na zgłoszenie.
- CVE-2026-101009Wysokie
Wykryto podatność w aaPanel BaoTa do wersji 11.8.0. Dotyczy funkcji panelTask.bt_task._unzip w pliku /www/server/panel/class/panelTask.py w komponencie Unzip Handler. Manipulacja argumentem Password może prowadzić do wstrzyknięcia poleceń systemu operacyjnego. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-101007Wysokie
Wykryto podatność w aaPanel BaoTa do wersji 11.8.0. Problem dotyczy funkcji InputSql w pliku class/database.py w komponencie Database Backup Handler. Manipulacja argumentem Password prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak może być wykonany zdalnie, a exploit został ujawniony publicznie.
- CVE-2026-101008Krytyczne
W aaPanel BaoTa do wersji 11.8.0 wykryto podatność w funkcji merge_split_file w pliku /www/server/panel/class/files.py komponentu File Merge Handler. Manipulacja argumentem split_file_path prowadzi do wstrzyknięcia poleceń, a atak można przeprowadzić zdalnie. Exploit został upubliczniony i może być wykorzystany; producent nie odpowiedział na zgłoszenie.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was identified in aaPanel BaoTa up to 11.8.0. The impacted element is the function getData of the file /www/server/panel/class/data.py. The manipulation of the argument log_type leads to sql injection. It is possible to initiate the attack remotely. The exploit is publicly available and might be used. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS