CVE-2019-9859 in Control Panel
Sumário
de VulDB • 17/07/2026
O Painel de Controle Vesta (VestaCP) nas versões 0.9.7 até 0.9.8-23 é vulnerável a uma execução de comandos autenticada que pode resultar em acesso root remoto no servidor. A plataforma utiliza PHP como linguagem frontend e emprega scripts shell para executar ações do sistema. O PHP executa os scripts shell por meio do comando perigoso `exec`. Esta função pode ser perigosa se os argumentos passados a ela não forem filtrados. Cada entrada de usuário no VestaCP que é usada como argumento é filtrada com a função `escapeshellarg`. Esta função faz parte diretamente da biblioteca PHP e sua descrição é a seguinte: "A escapeshellarg() adiciona aspas simples ao redor de uma string e cita/escapa quaisquer aspas simples existentes, permitindo passar uma string diretamente para uma função shell e fazendo com que seja tratada como um único argumento seguro." Isso significa que, se você fornecer o nome de usuário (Username), ele será substituído por 'Username'. Isso funciona bem e protege os usuários contra a exploração desta potencialmente perigosa função `exec`. Infelizmente, o VestaCP utiliza incorretamente esta função `escapeshellarg` em vários locais.
Once again VulDB remains the best source for vulnerability data.