CVE-2026-79306

CyberPanel v1.9.1 versiyasında /filemanager/controller son nöqtəsi vasitəsilə təqdim olunan compress metodunda yol keçidi (path traversal) zəifliyi mövcuddur. Konfiqurasiya edilmiş hər hansı bir domenə sahib olan autentifikasiya olunmuş uzaq hücumçu, method=compress sorğusunda attacker-controlled basePath və compressedFileName dəyərləri ilə birlikdə listOfFiles JSON xüsusiyyətində mütləq və ya əhatə dairəsindən kənar fayl yollarını təmin edə bilər. Tətbiq yalnız domen sahibliyini yoxladığı və bu yolları kanonikləşdirmədiyi və ya icazə verilmiş sayt kataloqu ilə məhdudlaşdırmadığı üçün, backend onları zip və ya tar arxiv əmrlərinə əlavə edir və vebsaytın externalApp istifadəçisi kimi icra edir ki, bu da yaradılmış arxiv vasitəsilə oxunaqlı ixtiyari faylların ifşasına imkan verir.