CVE-2026-41473
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 52 - wyżej niż 52% wszystkich znanych CVE
Streszczenie
CyberPanel w wersjach przed 2.4.5 zawiera podatność na obejście uwierzytelniania w punktach końcowych AI Scanner worker API, co pozwala nieuwierzytelnionym zdalnym atakującym na zapisywanie dowolnych danych do bazy danych poprzez wysyłanie żądań do /api/ai-scanner/status-webhook i /api/ai-scanner/callback. Atakujący mogą wykorzystać brak kontroli uwierzytelniania do spowodowania odmowy usługi przez wyczerpanie pamięci, uszkodzenia historii skanów i zanieczyszczenia pól bazy danych złośliwymi danymi.
Ocena ryzyka
Podatność może prowadzić do zakłócenia działania usług, uszkodzenia danych i naruszenia integralności bazy danych, co może wpłynąć na zaufanie do systemu.
Rekomendacja
Zaleca się natychmiastową aktualizację CyberPanel do wersji 2.4.5 lub nowszej oraz ograniczenie dostępu do API tylko dla zaufanych sieci.
Inne podatności w CyberPanel
Zobacz wszystkie- CVE-2026-67614Krytyczne
CyberPanel przed wersją 3.0.0 zawiera twardo zakodowany sekret JWT w usłudze SSH WebTerminal FastAPI, co pozwala nieuwierzytelnionym zdalnym atakującym na tworzenie ważnych tokenów uwierzytelniających i uzyskanie interaktywnej powłoki root przez WebSocket na porcie 8888. Atakujący mogą sfałszować token JWT podpisany twardo zakodowanym sekretem, określając ssh_user=root, aby uwierzytelnić się w usłudze terminala bez żadnych ważnych poświadczeń i otrzymać powłokę root.
- CVE-2024-51567KrytyczneAktywnie exploitowane
Funkcja upgrademysqlstatus w databases/views.py w CyberPanel przed wersją 5b08cd6 pozwala zdalnym atakującym ominąć uwierzytelnianie i wykonać dowolne polecenia przez /dataBases/upgrademysqlstatus, omijając secMiddleware (który jest tylko dla żądań POST) i używając metaznaków powłoki we właściwości statusfile. Luka była wykorzystywana w środowisku w październiku 2024 przez PSAUX. Dotyczy wersji do 2.3.6 i (niezałatanej) 2.3.7.
- CVE-2024-51378KrytyczneAktywnie exploitowane
Funkcja getresetstatus w dns/views.py i ftp/views.py w CyberPanel przed wersją 1c0c6cb umożliwia zdalnym atakującym obejście uwierzytelniania i wykonanie dowolnych poleceń poprzez /dns/getresetstatus lub /ftp/getresetstatus, wykorzystując obejście secMiddleware (który jest tylko dla żądań POST) i używając metaznaków powłoki we właściwości statusfile. Podatność była wykorzystywana w środowisku w październiku 2024 przez PSAUX. Dotyczy wersji do 2.3.6 i (niezałatanej) 2.3.7.
- CVE-2026-79306Średnie
CyberPanel v1.9.1 zawiera podatność path traversal w metodzie compress udostępnianej przez endpoint /filemanager/controller. Uwierzytelniony zdalny atakujący będący właścicielem dowolnej skonfigurowanej domeny może podać bezwzględne lub wykraczające poza zakres ścieżki plików w właściwości listOfFiles JSON wraz z kontrolowanymi wartościami basePath i compressedFileName w żądaniu method=compress.
- CVE-2026-79304Średnie
CyberPanel 1.9.1 zawiera podatność path traversal w metodzie readFileContents endpointu /filemanager/controller. Uwierzytelniony zdalny atakujący będący właścicielem dowolnej skonfigurowanej domeny może podać dowolną bezwzględną lub wykraczającą poza zakres ścieżkę w właściwości fileName JSON.
- CVE-2026-29812Średnie
CyberPanel przed wersją 2.4.4 nie rejestruje działań, które mogą potencjalnie manipulować listą domen podrzędnych. Brak logowania utrudnia wykrycie nieautoryzowanych zmian.
- CVE-2026-29811Wysokie
CyberPanel w wersji przed 2.4.4 próbuje wykryć domenę "alais" (drugą domenę serwującą tę samą treść co domena główna; poprawna pisownia to "alias") za pomocą filtra zapytań ORM zamiast instrukcji warunkowej Pythona "if".
- CVE-2026-29810Średnie
CyberPanel przed wersją 2.4.4 pomija instrukcję "return 0" wymaganą przez logikę biznesową. Może to prowadzić do nieprawidłowego działania funkcji.
- CVE-2026-88895Wysokie
CyberPanel w wersjach przed 3.0.5 nie wymusza uwierzytelniania dwuskładnikowego na punktach końcowych API, co pozwala atakującym obejść wymóg TOTP przy użyciu tokenów pochodnych od hasła. Atakujący, który zdobędzie hasło administratora, może wygenerować tokeny API i wykonać operacje administracyjne lub utworzyć uwierzytelnione sesje bez drugiego składnika.
- CVE-2026-87820Średnie
CyberPanel w wersjach od 2.4.3 do 2.4.5 udostępnia nieuwierzytelnione punkty końcowe debugowania skanera AI, które ujawniają nazwy administratorów, prefiksy kluczy API, identyfikatory skanów, domeny docelowe i metadane kont. Nieuwierzytelnieni atakujący mogą wyliczyć administratorów panelu i ostatnią aktywność skanera, aby zinwentaryzować instalacje wielodostępne i ułatwić dalsze ataki.
Oryginalny opis (angielski, źródło NVD)
CyberPanel versions prior to 2.4.5 contain an authentication bypass vulnerability in the AI Scanner worker API endpoints that allows unauthenticated remote attackers to write arbitrary data to the database by sending requests to the /api/ai-scanner/status-webhook and /api/ai-scanner/callback endpoints. Attackers can exploit the lack of authentication checks to cause denial of service through storage exhaustion, corrupt scan history records, and pollute database fields with malicious data.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS