CVE-2026-79306
Açıklama
CyberPanel v1.9.1, /filemanager/controller uç noktası üzerinden sunulan compress metodunda bir path traversal zafiyeti içermektedir. Yapılandırılmış herhangi bir alan adının sahipliğine sahip kimliği doğrulanmış uzak bir saldırgan, method=compress isteğinde; saldırgan tarafından kontrol edilen basePath ve compressedFileName değerleriyle birlikte, listOfFiles JSON özelliğine mutlak veya kapsam dışı dosya yolları sağlayabilir. Uygulama yalnızca alan adı sahipliğini doğruladığı ve bu yolları kanonikleştirmediği veya yetkili site diziniyle sınırlandırmadığı için arka uç, bunları zip veya tar arşiv komutlarına ekler ve website externalApp kullanıcısı olarak yürütür; bu durum, oluşturulan arşiv aracılığıyla okunabilir rastgele dosyaların ifşa edilmesine olanak tanır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| CyberPanel | 1.9.1 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.