CVE-2025-66292 in dpanel
Sumário
de VulDB • 25/06/2026
DPanel é um painel de gerenciamento de servidor open source escrito em Go. Antes da versão 1.9.2, o DPanel apresenta uma vulnerabilidade de exclusão arbitrária de arquivos na interface /api/common/attach/delete. Usuários autenticados podem excluir arquivos arbitrários no servidor por meio de traversal de caminho (path traversal). Quando um usuário faz login no backend administrativo, essa interface pode ser usada para excluir arquivos. A vulnerabilidade reside na função Delete dentro do arquivo app/common/http/controller/attach.go. O parâmetro path submetido pelo usuário é passado diretamente para storage.Local{}.GetSaveRealPath e subsequentemente para os.Remove sem a devida sanitização ou verificação de caracteres de traversal de caminho (../). Além disso, a função auxiliar em common/service/storage/local.go utiliza filepath.Join, que resolve ../ mas não impõe um chroot/jail. Esta vulnerabilidade foi corrigida na versão 1.9.2.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.