CVE-2019-9859 in Control Panel
Riassunto
di VulDB • 17/07/2026
Vesta Control Panel (VestaCP) dalle versioni 0.9.7 alla 0.9.8-23 è vulnerabile a un'esecuzione di comandi autenticata che può portare all'accesso root remoto sul server. La piattaforma utilizza PHP come linguaggio frontend e script shell per eseguire azioni di sistema. PHP esegue gli script shell tramite la funzione exec, considerata pericolosa se i parametri passati non vengono filtrati correttamente. In VestaCP, ogni input utente utilizzato come argomento viene filtrato con la funzione escapeshellarg. Questa funzione fa parte della libreria PHP nativa e la sua descrizione è la seguente: "escapeshellarg() aggiunge apici singoli attorno a una stringa ed esegue il quoting/escape di eventuali apici singoli esistenti, consentendo di passare direttamente alla shell una stringa che verrà trattata come un singolo argomento sicuro". Ciò significa che se si fornisce l'input Username, questo verrà sostituito con 'Username'. Questo meccanismo funziona correttamente e protegge gli utenti dallo sfruttamento della potenzialmente pericolosa funzione exec. Purtroppo, VestaCP utilizza in modo errato la funzione escapeshellarg in diverse parti del codice.
If you want to get best quality of vulnerability data, you may have to visit VulDB.