CVE-2025-66292

DPanel, Go ile yazılmış açık kaynaklı bir sunucu yönetim panelidir. 1.9.2 sürümünden önce DPanel, /api/common/attach/delete arayüzünde rastgele dosya silme zafiyetine sahiptir. Kimliği doğrulanmış kullanıcılar, dizinlemesine geçiş (path traversal) yoluyla sunucudaki rastgele dosyaları silebilirler. Bir kullanıcı yönetici arka paneline giriş yaptığında, bu arayüz dosyaları silmek için kullanılabilir. Zafiyet, app/common/http/controller/attach.go dosyasındaki Delete fonksiyonunda yer almaktadır. Kullanıcı tarafından gönderilen path parametresi, uygun bir temizleme işlemi yapılmadan veya dizinlemesine geçiş karakterleri (../) kontrol edilmeden doğrudan storage.Local{}.GetSaveRealPath'e ve ardından os.Remove'a aktarılmaktadır. Ayrıca common/service/storage/local.go içindeki yardımcı fonksiyon, ../ ifadesini çözen ancak bir chroot/jail zorunluluğu getirmeyen filepath.Join kullanmaktadır. Bu zafiyet 1.9.2 sürümünde giderilmiştir.