CVE-2024-51567
Açıklama
CyberPanel'de (diğer adıyla Cyber Panel), 5b08cd6 sürümünden önceki databases/views.py dosyasındaki upgrademysqlstatus fonksiyonu; sadece POST istekleri için geçerli olan secMiddleware katmanının atlatılması ve statusfile özelliği içerisinde kabuk meta karakterlerinin kullanılması yoluyla, uzaktaki saldırganların /dataBases/upgrademysqlstatus üzerinden kimlik doğrulamayı atlatmasına ve rastgele komutlar çalıştırmasına olanak tanır. Bu açık, Ekim 2024'te PSAUX tarafından gerçek ortamda istismar edilmiştir. 2.3.6 dahil önceki sürümler ile (yamalanmamış) 2.3.7 sürümü etkilenmektedir.
Nasıl düzeltilir
Üreticinin önerdiği önlemleri uygulayın. Önlem yoksa ürünü kullanmayı bırakın.
CISA son tarihi: 28 Kas 2024- cyberpanel cyberpanel2.3.8 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| cyberpanel cyberpanel | v < 2.3.8 | 2.3.8 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.