CVE-2026-34234
Təsvir
CtrlPanel hostinq provayderləri üçün açıq mənbəli billinq proqram təminatıdır. Versiya 1.1.1 və daha əvvəlki versiyalarda veb əsaslı quraşdırıcı (public/installer/index.php), install.lock yoxlamasını yalnız forma idarəedici faylları daxil etdikdən və icra etdikdən sonra həyata keçirdiyi üçün autentifikasiyasız uzaqdan kodun icrasına (RCE) qarşı həssasdır; bu, artıq quraşdırılmış nümunələrdə quraşdırıcı son nöqtələrinin əlçatan qalmasına səbəb olur. İdarəedicilər həmçinin təmizlənməmiş istifadəçi girişini birbaşa shell əmrlərinə ötürür ki, bu da hücumçuya serverdə ixtiyari əmrləri icra edən xüsusi hazırlanmış sorğular göndərməyə imkan verir. Həssaslıq iki birləşmiş zəiflikdən qaynaqlanır: (1) kilid faylı yoxlamasından əvvəl forma idarəedicisinin vaxtından əvvəl icrası və (2) shell əmrinin qurulmasında istifadəçi girişindən təhlükəsiz olmayan istifadə. Bu problemin real mühitdə aktiv şəkildə istismar edildiyi bildirilir. Problem 1.2.0 versiyasında düzəldilmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| Ctrlpanel-gg panel | < 1.2.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.