CVE-2026-57517
Açıklama
0.9.8.1225 sürümünden önceki Control Web Panel, kimlik doğrulaması yapmamış uzaktan saldırganların user uç noktasındaki userRes POST parametresi aracılığıyla temizlenmemiş girdiler göndererek keyfi SQL sorguları yürütmesine olanak tanıyan bir kör SQL enjeksiyonu zafiyeti içermektedir. Saldırganlar, enjeksiyon yoluyla elde edilen MySQL root ayrıcalıklarını INTO DUMPFILE kullanarak keyfi dosyalar yazmak için kullanabilir; bu durum, web üzerinden erişilebilir roundcube logs dizinine bir PHP webshell yerleştirilmesini sağlayarak cwpsvc hesabı ile uzaktan kod çalıştırılmasına imkan tanır.
Nasıl düzeltilir
- Control Web Panel Control Web Panel0.9.8.1225 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Control Web Panel Control Web Panel | v < 0.9.8.1225 | 0.9.8.1225 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.