超危
CyberPanel命令执行漏洞
2024-10-29 00:00:00 公开 ，2026-08-05 05:07:00 更新
- 勒索软件漏洞
- CISA KEV
- 关键漏洞
- APT漏洞
- 无需认证
- 远程
- 开源组件漏洞
- CWE Top 25 (2023)
- 公开PoC
- CWE Top 25 (2024)
风险信息
- CVSS v3 向量
- AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
- CVSS v3 风险值
- 10
- CVSS v3.1 向量
- AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
- CVSS v3.1 风险值
- 10
详细信息
- 漏洞类型
- 其他
- 漏洞描述
- 1c0c6cb之前的CyberPanel(又名Cyber Panel)中dns/views.py和ftp/views.py中的getresetstatus允许远程攻击者绕过身份验证，并通过绕过secMiddleware(仅用于POST请求)并通过/dns/getresetstatus或/ftp/getresetstatus执行任意命令，并在statusfile属性中使用shell元字符，PSAUX于2024年10月在野外利用了该漏洞。2.3.6及2.3.7及(未修补)版本会受到影响。
- 修复建议
- 建议升级到commit 1c0c6cbcf71abe573da0b5fddfb9603e7477f683及以上版本。参考链接： https://github.com/usmannasir/cyberpanel/commit/1c0c6cbcf71abe573da0b5fddfb9603e7477f683
参考链接
- https://cwe.mitre.org/data/definitions/420.html
CVE · Technical Description
- https://cwe.mitre.org/data/definitions/78.html
CVE · Technical Description
- https://cyberpanel.net/KnowledgeBase/home/change-logs/
CVE · Release Notes
- https://cyberpanel.net/blog/detials-and-fix-of-recent-security-issue-and-patch-of-cyberpanel
CVE · Product
- https://github.com/usmannasir/cyberpanel/commit/1c0c6cbcf71abe573da0b5fddfb9603e7477f683
CVE · Patch
- https://osv.dev/vulnerability/CVE-2024-51378
OSV
- https://refr4g.github.io/posts/cyberpanel-command-injection-vulnerability/
CVE · Exploit
- https://www.bleepingcomputer.com/news/security/massive-psaux-ransomware-attack-targets-22-000-cyberpanel-instances/
CVE · Press/Media Coverage · Exploit
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2024-51378
OSV · US Government Resource