CVE-2025-66292 in dpanel
요약
\~에 의해 VulDB • 2026. 07. 28.
DPanel은 Go로 작성된 오픈 소스 서버 관리 패널입니다. 버전 1.9.2 이전의 DPanel에는 /api/common/attach/delete 인터페이스에서 임의 파일 삭제 취약점이 존재합니다. 인증된 사용자는 경로 순회(Path Traversal)를 통해 서버상의 임의 파일을 삭제할 수 있습니다. 사용자가 관리자 백엔드에 로그인하면 이 인터페이스를 사용하여 파일을 삭제할 수 있습니다. 해당 취약점은 app/common/http/controller/attach.go 파일 내 Delete 함수에 위치해 있습니다. 사용자가 제출한 path 파라미터는 적절한 정제(Sanitization)나 경로 순회 문자('../') 검사 없이 storage.Local{}.GetSaveRealPath로 직접 전달된 후 os.Remove로 이어집니다. 또한 common/service/storage/local.go의 헬퍼 함수는 filepath.Join를 사용하여 ../을 해석하지만 chroot/jail을 강제하지 않습니다. 이 취약점은 1.9.2에서 수정되었습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.