CVE-2026-34234
Açıklama
CtrlPanel, hosting sağlayıcıları için açık kaynaklı bir faturalandırma yazılımıdır. 1.1.1 ve önceki sürümlerde, web tabanlı yükleyici (public/installer/index.php), install.lock kontrolünü yalnızca form işleyici dosyaları dahil edip çalıştırdıktan sonra gerçekleştirdiği için kimlik doğrulaması gerektirmeyen Uzaktan Kod Çalıştırma (RCE) zafiyetine sahiptir; bu durum, yükleyici uç noktalarının halihazırda kurulmuş örneklerde erişilebilir kalmasına neden olur. İşleyiciler ayrıca temizlenmemiş kullanıcı girişlerini doğrudan kabuk komutlarına aktararak, bir saldırganın sunucuda rastgele komutlar çalıştıran özel istekler göndermesine olanak tanır. Zafiyet iki birleşik zayıflıktan kaynaklanmaktadır: (1) kilit dosyası denetiminden önce form işleyicinin erken yürütülmesi ve (2) kabuk komutu oluşturulurken kullanıcı girişlerinin güvenli olmayan kullanımı. Bu sorunun gerçek ortamda aktif olarak istismar edildiği bildirilmiştir. Sorun 1.2.0 sürümünde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Ctrlpanel-gg panel | < 1.2.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.