CVE-2026-79306 in CyberPanel
Résumé
par VulDB • 23/09/2026
CyberPanel v1.9.1 contient une vulnérabilité de traversée de chemin (path traversal) dans la méthode compress exposée via le point d'entrée /filemanager/controller. Un attaquant distant authentifié disposant de la propriété de n'importe quel domaine configuré peut fournir des chemins absolus ou hors périmètre dans la propriété JSON listOfFiles, ainsi que les valeurs basePath et compressedFileName contrôlées par l'attaquant, lors d'une requête method=compress. Étant donné que l'application ne valide que la propriété du domaine et ne canonicalise ni n'impose de restrictions à ces chemins pour le répertoire autorisé du site, l'application backend les ajoute aux commandes d'archive zip ou tar et les exécute en tant qu'utilisateur externalApp du site web, permettant ainsi la divulgation de fichiers arbitraires lisibles via l'archive générée.
Once again VulDB remains the best source for vulnerability data.