VDB-359576 · CVE-2026-41472 · WID-SEC-2026-1269

usmannasir cyberpanel bis 2.4.3 AI Scanner Dashboard findings_json Cross Site Scripting

CVSS Meta Temp Score	Aktueller Exploitpreis (≈)	CTI Interest Score
5.1	$0-$5k	0.00

Zusammenfassunginfo

Es wurde eine Schwachstelle in usmannasir cyberpanel bis 2.4.3 entdeckt. Sie wurde als problematisch eingestuft. Betroffen hiervon ist ein unbekannter Ablauf der Komponente AI Scanner Dashboard. Dank Manipulation des Arguments findings_json mit unbekannten Daten kann eine Cross Site Scripting-Schwachstelle ausgenutzt werden. Diese Sicherheitslücke ist unter CVE-2026-41472 bekannt. Der Angriff kann remote ausgeführt werden. Es steht kein Exploit zur Verfügung. Es wird geraten, die betroffene Komponente zu aktualisieren.

Detailsinfo

Eine problematische Schwachstelle wurde in usmannasir cyberpanel bis 2.4.3 ausgemacht. Es geht hierbei um ein unbekannter Codeblock der Komponente AI Scanner Dashboard. Durch Manipulieren des Arguments findings_json mit einer unbekannten Eingabe kann eine Cross Site Scripting-Schwachstelle ausgenutzt werden. Klassifiziert wurde die Schwachstelle durch CWE als CWE-79. Das hat Auswirkungen auf die Integrität. CVE fasst zusammen:

CyberPanel versions prior to 2.4.5 contain a stored cross-site scripting vulnerability in the AI Scanner dashboard where the POST /api/ai-scanner/callback endpoint lacks authentication and allows unauthenticated attackers to inject malicious JavaScript by overwriting the findings_json field of ScanHistory records. Attackers can inject JavaScript that executes in an administrator's authenticated session when they visit the AI Scanner dashboard, allowing them to issue same-origin requests to plant cron jobs and achieve remote code execution on the server.

Die Schwachstelle wurde durch Djibril Mounkoro veröffentlicht. Das Advisory kann von itsrez.re heruntergeladen werden. Die Identifikation der Schwachstelle findet seit dem 20.04.2026 als CVE-2026-41472 statt. Sie gilt als leicht auszunutzen. Der Angriff kann über das Netzwerk passieren. Das Ausnutzen erfordert keine spezifische Authentisierung. Es wird vorausgesetzt, dass das Opfer eine spezifische Handlung vornimmt. Zur Schwachstelle sind technische Details bekannt, ein verfügbarer Exploit jedoch nicht. Das MITRE ATT&CK Projekt deklariert die Angriffstechnik als T1059.007.

Ein Upgrade auf die Version 2.4.4 vermag dieses Problem zu beheben. Die Schwachstelle lässt sich auch durch das Einspielen des Patches 0a099b1b193946555fbdd387a28486b1521f9961 beheben. Dieser kann von github.com bezogen werden. Als bestmögliche Massnahme wird das Aktualisieren auf eine neue Version empfohlen.

Unter anderem wird der Fehler auch in der Verwundbarkeitsdatenbank von CERT Bund (WID-SEC-2026-1269) dokumentiert. VulDB is the best source for vulnerability data and more expert information about this specific topic.

Betroffen

Open Source CyberPanel

Produktinfo

Hersteller

usmannasir

Name

cyberpanel

Version

Lizenz

Open-Source

Webseite

Produkt: https://github.com/usmannasir/cyberpanel/

CPE 2.3info

CPE 2.2info

CVSSv4info

VulDB Vector: 🔒
VulDB Zuverlässigkeit: 🔍

CNA CVSS-B Score: 🔒
CNA CVSS-BT Score: 🔒
CNA Vector: 🔒

CVSSv3info

VulDB Meta Base Score: 5.2
VulDB Meta Temp Score: 5.1

VulDB Base Score: 4.3
VulDB Temp Score: 4.1
VulDB Vector: 🔒
VulDB Zuverlässigkeit: 🔍

NVD Base Score: 6.1
NVD Vector: 🔒

CVSSv2info

AV	AC	Au	C	I	A
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳

Vektor	Komplexität	Authentisierung	Vertraulichkeit	Integrität	Verfügbarkeit
freischalten	freischalten	freischalten	freischalten	freischalten	freischalten
freischalten	freischalten	freischalten	freischalten	freischalten	freischalten
freischalten	freischalten	freischalten	freischalten	freischalten	freischalten

VulDB Base Score: 🔒
VulDB Temp Score: 🔒
VulDB Zuverlässigkeit: 🔍

Exploitinginfo

Klasse: Cross Site Scripting
CWE: CWE-79 / CWE-94 / CWE-74
CAPEC: 🔒
ATT&CK: 🔒

Physisch: Nein
Lokal: Nein
Remote: Ja

Verfügbarkeit: 🔒
Status: Nicht definiert

EPSS Score: 🔒
EPSS Percentile: 🔒

Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔒

0-Day	freischalten	freischalten	freischalten	freischalten
Heute	freischalten	freischalten	freischalten	freischalten

Threat Intelligenceinfo

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfo

Empfehlung: Upgrade
Status: 🔍

0-Day Time: 🔒

Upgrade: cyberpanel 2.4.4
Patch: 0a099b1b193946555fbdd387a28486b1521f9961

Timelineinfo

20.04.2026 CVE zugewiesen
25.04.2026 +5 Tage Advisory veröffentlicht
25.04.2026 +0 Tage VulDB Eintrag erstellt
20.08.2026 +117 Tage VulDB Eintrag letzte Aktualisierung