CVE-2026-79306 in CyberPanel
Zusammenfassung
von VulDB • 23.09.2026
CyberPanel v1.9.1 enthält eine Path Traversal-Schwachstelle in der compress-Methode, die über den /filemanager/controller-Endpunkt freigegeben ist. Ein authentifizierter Remote-Angriff mit Eigentum an einer beliebigen konfigurierten Domain kann absolute oder sonstwie außerhalb des Geltungsbereichs liegende Dateipfade in der listOfFiles JSON-Eigenschaft zusammen mit angreiferkontrollierten basePath- und compressedFileName-Werten in einer method=compress-Anfrage übermitteln. Da die Anwendung nur das Domänenbesitzverhältnis überprüft und diese Pfade nicht kanonisiert oder auf das autorisierte Site-Verzeichnis beschränkt, hängt der Backend sie zip- oder tar-Archivbefehlen an und führt sie als website externalApp-Benutzer aus, was den Zugriff auf beliebige lesbare Dateien durch das generierte Archiv ermöglicht.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.