CVE-2026-34246

CtrlPanel hostinq provayderləri üçün açıq mənbəli billinq proqram təminatıdır. Versiya 1.1.1 və daha əvvəlki versiyalarda admin rolunun idarəetmə interfeysində Saxlanılan Saytlararası Skriptinq (Stored XSS) boşluğu mövcuddur. app/Http/Controllers/Admin/RoleController.php faylında datatable() metodu $role->name və $role->color dəyişənlərini təmizləmədən birbaşa <span> elementinin HTML və style atributlarına daxil edir, zəncirlənmiş .rawColumns(['actions', 'name']) çağırışı isə DataTables-a ad sütununu xam HTML kimi render etməyi tapşıraraq avtomatik çıxış qaçırılmasını (output escaping) yan keçir. Rol yaratmaq və ya redaktə etmək icazələrinə malik olan admin, ad və ya rəng sahələrinə <img src=x onerror="alert('XSS_POC')"> kimi payload yerləşdirə bilər ki, bu da verilənlər bazasında saxlanılır və /admin/roles səhifəsini yükləyən hər bir adminin brauzerində icra olunur. Bu, kuki oğurluğu vasitəsilə sessiyanın ələ keçirilməsinə, saxta giriş pəncərələri və ya keylogger-lər vasitəsilə etibarnamələrin toplanmasına, qurbanlar adından admin hərəkətləri yerinə yetirməklə lateral imtiyazların yüksəldilməsinə və zərərli rol yazısı silinənə qədər hər səhifə yüklənməsində yenidən icra olunan davamlı arxa qapının (backdoor) yaradılmasına imkan verir. Bu problem 1.2.0 versiyasında həll edilmişdir.