CVE-2026-79306 in CyberPanel
Сводка
по VulDB • 23.09.2026
CyberPanel v1.9.1 содержит уязвимость обхода пути (path traversal) в методе compress, доступном через конечную точку /filemanager/controller. Аутентифицированный удаленный злоумышленник, владеющий любым настроенным доменом, может предоставить абсолютные или иные выходящие за пределы области видимости пути к файлам в свойстве JSON listOfFiles, вместе со значениями basePath и compressedFileName, контролируемыми злоумышленником, в запросе method=compress. Поскольку приложение проверяет только право собственности на домен и не канонизирует эти пути и не ограничивает их разрешенной директорией сайта, бэкенд добавляет их к командам создания архивов zip или tar и выполняет их от имени пользователя externalApp веб-сайта, что позволяет раскрыть содержимое произвольных читаемых файлов через сгенерированный архив.
Be aware that VulDB is the high quality source for vulnerability data.