CVE-2025-34410
Açıklama
1Panel 1.10.33 - 2.0.15 sürümleri, ayarlar paneli üzerinden (/settings/panel) erişilebilen Kullanıcı Adı Değiştirme işlevinde bir siteler arası istek sahteciliği (CSRF) zafiyeti içermektedir. İlgili uç nokta, anti-CSRF belirteçleri veya Origin/Referer doğrulaması gibi CSRF korumalarını uygulamamaktadır. Bir saldırgan, kullanıcı adı değiştirme isteği gönderen kötü amaçlı bir web sayfası oluşturabilir; kimliği doğrulanmış bir kurban bu sayfayı ziyaret ettiğinde, tarayıcı geçerli oturum çerezlerini ekler ve istek başarıyla gerçekleşir. Bu durum, bir saldırganın kurbanın 1Panel kullanıcı adını rızası olmadan değiştirmesine olanak tanır. Değişiklikten sonra kurban oturumdan çıkarılır ve önceki kullanıcı adıyla giriş yapamaz, bu da hesap kilitlemesine ve hizmet reddine yol açar.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| fit2cloud 1panel | 1.10.33-lts ≤ v ≤ 2.0.15 | — |
| github.com/1Panel-dev/1PanelGo | 1.10.33 ≤ v ≤ 2.0.15, Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.