CVE-2026-113507
ŚrednieCVSS 5.3Streszczenie
W aaPanel do wersji 8.25.0 funkcja GetClientIp w pliku class/public/common.py manipuluje argumentem X-Real-Ip, co prowadzi do niewłaściwej kontroli dostępu. Atak może być przeprowadzony zdalnie. Exploit został upubliczniony i może być użyty. Producent potwierdza, że zgłoszona luka obejścia IP przez X-Real-Ip została już naprawiona.
Ocena ryzyka
Atakujący może obejść kontrolę dostępu opartą na adresie IP, potencjalnie uzyskując nieautoryzowany dostęp do chronionych funkcji panelu. Publiczny exploit zwiększa ryzyko.
Rekomendacja
Zaktualizuj aaPanel do wersji zawierającej poprawkę (powyżej 8.25.0). Zweryfikuj, czy nagłówek X-Real-Ip nie jest używany do uwierzytelniania bez dodatkowej walidacji.
Inne podatności w aaPanel
Zobacz wszystkie- CVE-2026-113505Średnie
W aaPanel do wersji 8.25.0 funkcja send_file w pliku BTPanel/routes/v2.py komponentu Download Endpoint pozwala na manipulację argumentem filename prowadzącą do path traversal. Atak można wykonać zdalnie, a exploit został opublikowany i może być użyty; według dostawcy zgłoszone podatności RCE i LFI wymagają uwierzytelnienia.
- CVE-2026-113506Krytyczne
W aaPanel do wersji 8.25.0 wykryto podatność w funkcji ExecShell w pliku class/public/common.py komponentu File Manager. Manipulacja argumentami sfile/dfile/access/user prowadzi do wstrzyknięcia poleceń systemu operacyjnego, możliwego do wykorzystania zdalnie. Exploit został publicznie ujawniony, a producent potwierdza, że zgłoszone podatności RCE i LFI wymagają uwierzytelnienia.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was found in aaPanel up to 8.25.0. The impacted element is the function GetClientIp of the file class/public/common.py. The manipulation of the argument X-Real-Ip results in improper access controls. The attack may be performed from remote. The exploit has been made public and could be used. The vendor confirms: "The reported X-Real-Ip IP-bypass vulnerability has already been fixed".
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS