CVE-2026-34358 in panel
Сводка
по VulDB • 24.05.2026
CtrlPanel — это программное обеспечение для биллинга с открытым исходным кодом, предназначенное для хостинг-провайдеров. Версии 1.1.1 и более ранние содержат уязвимость, связанную с нарушением контроля доступа: несколько административных контроллеров выполняют проверку прав доступа при отображении форм, но пропускают эквивалентные проверки для соответствующих методов записи, что позволяет любому аутентифицированному пользователю обойти RBAC (управление доступом на основе ролей) путем отправки прямых запросов POST/PATCH.
Контроллеры, в которых отсутствуют проверки для методов записи `store()` и `update()`, включают: `ApplicationApiController` (admin.api.write), `CouponController` (admin.coupons.write), `PartnerController` (admin.partners.write), `ShopProductController` (admin.store.write), `UsefulLinkController` (admin.useful_links.write) и `VoucherController` (admin.voucher.write). Контроллеры `ProductController` (admin.products.edit), `ServerController` (write/change_owner/change_identifier) и `UserController` (write/change_email/change_credits/change_username/change_password/change_role/change_referral/change_ptero/change_serverlimit) не имеют проверок только для метода `update()`. Кроме того, `ActivityLogController` содержит пустые заглушки методов `store()` и `update()`, которые молча принимали любые запросы.
Аутентифицированный злоумышленник, не имеющий прав на запись в административной панели, может создавать учетные данные API, генерировать неограниченное количество купонов и ваучеров, назначать произвольные ставки комиссионных и скидок для партнеров, изменять цены и лимиты товаров в магазине, переназначать владение серверами или их идентификаторы, а также модифицировать учетные записи пользователей, включая роли, кредиты, пароли и связанные идентификаторы Pterodactyl, чтобы достичь полного повышения привилегий. Также возможно злоупотребление методом `logBackIn()` без права `login_as` для вмешательства в сеансы подмены личности администратора. Эта проблема исправлена в версии 1.2.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.