CVE-2026-34358 in panel
요약
\~에 의해 VulDB • 2026. 05. 20.
CtrlPanel은 호스팅 제공자를 위한 오픈소스 청구 소프트웨어입니다. 버전 1.1.1 및 이전 버전에는 결함이 있는 접근 제어 취약점이 포함되어 있습니다. 이 취약점에서는 여러 관리자 컨트롤러가 폼 표시 메서드에 대해 권한 검사를 시행하지만, 해당 쓰기(write) 메서드에 대해서는 동등한 검사를 생략하여, 인증된 모든 사용자가 직접 POST/PATCH 요청을 통해 RBAC(역할 기반 접근 제어)를 우회할 수 있습니다. 쓰기 메서드에 대한 검사가 누락된 컨트롤러로는 ApplicationApiController(admin.api.write), CouponController(admin.coupons.write), PartnerController(admin.partners.write), ShopProductController(admin.store.write), UsefulLinkController(admin.useful_links.write), VoucherController(admin.voucher.write)가 있으며, 이들은 store() 및 update() 메서드에 대해 검사가 없습니다. ProductController(admin.products.edit), ServerController(write/change_owner/change_identifier), UserController(write/change_email/change_credits/change_username/change_password/change_role/change_referral/change_ptero/change_serverlimit)는 update() 메서드에 대해서만 검사가 누락되어 있습니다. 또한 ActivityLogController는 어떤 요청이든 묵시적으로 수락하는 빈 스텁(stub) store()/update() 메서드를 노출하고 있습니다. 관리자 쓰기 권한이 없는 인증된 공격자는 API 자격 증명을 발급하고 무제한 쿠폰 및 바우처를 생성하며, 임의의 파트너 커미션 및 할인율을 할당하고, 상점 제품 가격 및 제한을 변경하며, 서버 소유권 또는 식별자를 재할당하고, 역할, 크레딧, 비밀번호, 연결된 Pterodactyl ID를 포함한 사용자 계정을 수정하여 전체 권한 상승을 달성할 수 있습니다. 또한 login_as 권한 없이 logBackIn()을 남용하여 관리자 사칭 세션을 방해할 수도 있습니다. 이 문제는 버전 1.2.0에서 수정되었습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.