CVE-2026-79306 in CyberPanel
要約
〜によって VulDB • 2026年09月23日
CyberPanel v1.9.1 には、/filemanager/controller エンドポイントを通じて公開される compress メソッドにおけるパストラバーサルの脆弱性が存在する。設定されたドメインの所有権を持つ認証済みリモート攻撃者は、method=compress リクエストにおいて、listOfFiles JSON プロパティに絶対パスまたはそれ以外のスコープ外のファイルパスを、さらに攻撃者が制御可能な basePath および compressedFileName の値と共に指定できる。アプリケーションはドメイン所有権のみを検証し、これらのパスを正規化したり承認されたサイトディレクトリ内に制限したりしないため、バックエンドアプリはこれらを zip または tar アーカイブコマンドに付加して、ウェブサイト外部Appユーザーとして実行する。その結果、生成されたアーカイブを通じて任意の読み取り可能なファイルが漏洩する可能性がある。
If you want to get best quality of vulnerability data, you may have to visit VulDB.