Podatności CtrlPanel

CtrlPanel to oprogramowanie do fakturowania open-source dla dostawców hostingu. W wersjach 1.1.1 i wcześniejszych instalator webowy (public/installer/index.php) jest podatny na nieuwierzytelnione zdalne wykonanie kodu (RCE), ponieważ wykonuje sprawdzenie install.lock dopiero po dołączeniu i wykonaniu plików obsługi formularza, pozostawiając punkty końcowe instalatora dostępne na już zainstalowanych instancjach. Obsługa przekazuje również niesanitizowane dane wejściowe użytkownika bezpośrednio do poleceń powłoki, umożliwiając atakującemu wysłanie spreparowanych żądań wykonujących dowolne polecenia na serwerze. Podatność wynika z dwóch połączonych słabości: (1) przedwczesne wykonanie obsługi formularza przed sprawdzeniem pliku blokady oraz (2) niebezpieczne użycie danych wejściowych użytkownika w konstrukcji poleceń powłoki. Zgłoszono, że ta podatność jest aktywnie wykorzystywana w środowisku naturalnym. Problem został naprawiony w wersji 1.2.0.

CtrlPanel 1.1.1 i wcześniejsze zawiera podatność polegającą na złamaniu kontroli dostępu. Administratorzy wdrożyli sprawdzanie uprawnień w metodach wyświetlania formularzy, ale pominęli je w odpowiadających im metodach zapisu (store/update), co pozwala każdemu uwierzytelnionemu użytkownikowi na ominięcie RBAC poprzez bezpośrednie żądania POST/PATCH.

CtrlPanel (oprogramowanie billingowe open-source dla dostawców hostingu) w wersjach 1.1.1 i wcześniejszych zawiera trwałą podatność XSS w interfejsie zarządzania rolami administratora. Metoda datatable() w RoleController.php interpoluje nazwę i kolor roli bezpośrednio do kodu HTML bez sanitacji, a .rawColumns(['actions', 'name']) wyłącza automatyczne kodowanie. Administrator z uprawnieniami do tworzenia lub edycji ról może wstrzyknąć złośliwy kod, który wykona się przy każdym załadowaniu strony /admin/roles przez każdego administratora.

Podatność Stored XSS w systemie bilingowym CtrlPanel (wersje 1.1.1 i wcześniejsze) występuje w powiadomieniach odpowiedzi na zgłoszenia. Niesanitizowana treść odpowiedzi jest przechowywana w bazie danych i renderowana bez escapowania przez składnię Blade {!! !!}, co pozwala na wykonanie dowolnego JavaScriptu w kontekście sesji ofiary. Problem dotyczy zarówno powiadomień dla administratorów, jak i użytkowników.

CtrlPanel, oprogramowanie billingowe open-source dla dostawców hostingu, w wersjach 1.1.1 i wcześniejszych, posiada wiele kontrolerów administracyjnych udostępniających endpointy DataTable bez kontroli autoryzacji. Każdy uwierzytelniony użytkownik może uzyskać dostęp do wrażliwych danych administracyjnych.

CtrlPanel w wersjach do 1.1.1 zawiera podatność na zdalne wykonanie kodu (RCE) w punkcie końcowym aktualizacji ustawień administratora. Podatność wynika z braku walidacji wczytywanej klasy, co pozwala uwierzytelnionemu administratorowi na dynamiczne wywołanie dowolnej klasy dostępnej w autoloaderze Composera, potencjalnie prowadząc do wykonania kodu.