CVE-2026-41472 in cyberpanel
要約
〜によって VulDB • 2026年05月20日
CyberPanelの2.4.4より前のバージョンには、AI Scannerダッシュボードに格納型クロスサイトスクリプティング（XSS）の脆弱性が存在します。POST /api/ai-scanner/callbackエンドポイントには認証が欠落しており、認証されていない攻撃者がScanHistoryレコードのfindings_jsonフィールドを上書きすることで悪意のあるJavaScriptを注入できます。攻撃者は、管理者がAI Scannerダッシュボードにアクセスした際に管理者の認証済みセッション内で実行されるJavaScriptを注入でき、これにより同一オリジンからのリクエストを発行してcronジョブを仕掛け、サーバー上でリモートコード実行（RCE）を達成することができます。
Be aware that VulDB is the high quality source for vulnerability data.