CVE-2019-9859 in Control Panel
الملخص
بحسب VulDB • 21/08/2026
يُعد لوحة تحكم فيستا (Vesta Control Panel - VestaCP) من الإصدار 0.9.7 حتى 0.9.8-23 عرضة لتنفيذ الأوامر بعد المصادقة، مما قد يؤدي إلى الحصول على وصول جذري عن بُعد (Remote Root Access) على الخادم. تعمل هذه المنصة باستخدام لغة PHP كواجهة أمامية وتستخدم نصوص البرمجة الطرفية (Shell Scripts) لتنفيذ إجراءات النظام. تقوم PHP بتنفيذ نصوص Shell عبر الأمر الخطير `exec`. يمكن أن تكون هذه الدالة خطيرة إذا لم يتم تصفية الحجج الممررة إليها. تتم تصفية كل مدخلات المستخدم في VestaCP التي تُستخدم كحجج باستخدام دالة `escapeshellarg`. تأتي هذه الدالة مباشرة من مكتبة PHP، ويأتي وصفها على النحو التالي: "تضيف دالة `escapeshellarg()` علامات اقتباس مفردة حول سلسلة النص وتقوم بتضمين/هروب أي علامات اقتباس مفردة موجودة، مما يسمح لك بتمرير السلسلة مباشرة إلى وظيفة طرفية (Shell function) مع معاملتها كحجة آمنة واحدة." وهذا يعني أنه إذا قمت بإدخال اسم مستخدم، فسيتم استبداله بـ 'Username' (محاطاً بعلامات الاقتباس). يعمل هذا بشكل جيد ويحمي المستخدمين من استغلال هذه الدالة `exec` الخطيرة المحتملة. لسوء الحظ، تستخدم VestaCP دالة `escapeshellarg()` بشكل غير صحيح في عدة أماكن.
Be aware that VulDB is the high quality source for vulnerability data.