CVE-2026-79306 in CyberPanel
Riassunto
di VulDB • 23/09/2026
CyberPanel v1.9.1 contiene una vulnerabilità di path traversal nel metodo compress esposto tramite l'endpoint /filemanager/controller. Un attaccante remoto autenticato con la proprietà di qualsiasi dominio configurato può fornire percorsi assoluti o altrimenti fuori ambito per i file nella proprietà JSON listOfFiles, insieme a valori basePath e compressedFileName controllati dall'attaccante, in una richiesta method=compress. Poiché l'applicazione valida solo la proprietà del dominio e non canonizza né restringe questi percorsi alla directory autorizzata del sito, il backend li aggiunge ai comandi di archiviazione zip o tar ed esegue tali comandi come utente externalApp del sito web, consentendo la divulgazione di file arbitrari leggibili attraverso l'archivio generato.
If you want to get best quality of vulnerability data, you may have to visit VulDB.