CVE-2026-34241
WysokieCVSS 8.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 27 - wyżej niż 27% wszystkich znanych CVE
Streszczenie
Podatność Stored XSS w systemie bilingowym CtrlPanel (wersje 1.1.1 i wcześniejsze) występuje w powiadomieniach odpowiedzi na zgłoszenia. Niesanitizowana treść odpowiedzi jest przechowywana w bazie danych i renderowana bez escapowania przez składnię Blade {!! !!}, co pozwala na wykonanie dowolnego JavaScriptu w kontekście sesji ofiary. Problem dotyczy zarówno powiadomień dla administratorów, jak i użytkowników.
Ocena ryzyka
Niskouprzywilejowany atakujący może przejąć sesję administratora, wykraść dane uwierzytelniające lub eskalować uprawnienia. Odwrotny scenariusz umożliwia złośliwemu administratorowi atak na zwykłych użytkowników.
Rekomendacja
Zaktualizuj CtrlPanel do wersji 1.2.0, która zawiera poprawkę.
Inne podatności w CtrlPanel
Zobacz wszystkie- CVE-2026-34234Krytyczne
CtrlPanel to oprogramowanie do fakturowania open-source dla dostawców hostingu. W wersjach 1.1.1 i wcześniejszych instalator webowy (public/installer/index.php) jest podatny na nieuwierzytelnione zdalne wykonanie kodu (RCE), ponieważ wykonuje sprawdzenie install.lock dopiero po dołączeniu i wykonaniu plików obsługi formularza, pozostawiając punkty końcowe instalatora dostępne na już zainstalowanych instancjach. Obsługa przekazuje również niesanitizowane dane wejściowe użytkownika bezpośrednio do poleceń powłoki, umożliwiając atakującemu wysłanie spreparowanych żądań wykonujących dowolne polecenia na serwerze. Podatność wynika z dwóch połączonych słabości: (1) przedwczesne wykonanie obsługi formularza przed sprawdzeniem pliku blokady oraz (2) niebezpieczne użycie danych wejściowych użytkownika w konstrukcji poleceń powłoki. Zgłoszono, że ta podatność jest aktywnie wykorzystywana w środowisku naturalnym. Problem został naprawiony w wersji 1.2.0.
- CVE-2026-34358Wysokie
CtrlPanel 1.1.1 i wcześniejsze zawiera podatność polegającą na złamaniu kontroli dostępu. Administratorzy wdrożyli sprawdzanie uprawnień w metodach wyświetlania formularzy, ale pominęli je w odpowiadających im metodach zapisu (store/update), co pozwala każdemu uwierzytelnionemu użytkownikowi na ominięcie RBAC poprzez bezpośrednie żądania POST/PATCH.
- CVE-2026-34246Średnie
CtrlPanel (oprogramowanie billingowe open-source dla dostawców hostingu) w wersjach 1.1.1 i wcześniejszych zawiera trwałą podatność XSS w interfejsie zarządzania rolami administratora. Metoda datatable() w RoleController.php interpoluje nazwę i kolor roli bezpośrednio do kodu HTML bez sanitacji, a .rawColumns(['actions', 'name']) wyłącza automatyczne kodowanie. Administrator z uprawnieniami do tworzenia lub edycji ról może wstrzyknąć złośliwy kod, który wykona się przy każdym załadowaniu strony /admin/roles przez każdego administratora.
- CVE-2026-34233Średnie
CtrlPanel, oprogramowanie billingowe open-source dla dostawców hostingu, w wersjach 1.1.1 i wcześniejszych, posiada wiele kontrolerów administracyjnych udostępniających endpointy DataTable bez kontroli autoryzacji. Każdy uwierzytelniony użytkownik może uzyskać dostęp do wrażliwych danych administracyjnych.
- CVE-2026-34216Średnie
CtrlPanel w wersjach do 1.1.1 zawiera podatność na zdalne wykonanie kodu (RCE) w punkcie końcowym aktualizacji ustawień administratora. Podatność wynika z braku walidacji wczytywanej klasy, co pozwala uwierzytelnionemu administratorowi na dynamiczne wywołanie dowolnej klasy dostępnej w autoloaderze Composera, potencjalnie prowadząc do wykonania kodu.
Oryginalny opis (angielski, źródło NVD)
CtrlPanel is open-source billing software for hosting providers. Versions 1.1.1 and prior contain a Stored Cross-Site Scripting (XSS) vulnerability in the ticket reply notification system. Unsanitized reply content ($newmessage) is stored directly in database notification payloads and later rendered unescaped via Blade's {!! !!} syntax in the recipient's browser. The flaw exists in both App\Notifications\Ticket\Admin\AdminReplyNotification (triggered when a user replies, targeting admins) and App\Notifications\Ticket\User\ReplyNotification (triggered when an admin replies, targeting users), allowing arbitrary JavaScript execution in the victim's session context. A low-privileged attacker can exploit this to hijack admin sessions, harvest credentials via fake login prompts or keyloggers, and escalate privileges by performing administrative actions on the victim's behalf. The reverse path also enables a malicious or compromised admin to target regular users in the same manner. This issue has been fixed in version 1.2.0.