PT-2025-26757
CVE-2025-48703
·
تاريخ النشر
2025-06-24
·
تاريخ التحديث
2026-08-05
الوصف من
CVSS 3.1
9.0
حرجةالمقاييسAV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Control Web Panel (CWP) الأقدم من 0.9.8.1205
الوصف
يُعتبر CWP (المعروف أيضًا باسم CentOS Web Panel) عرضة لثغرة أمنية تسمح بتنفيذ تعليمات برمجية عن بُعد دون مصادقة. يمكن للمهاجم الذي يمتلك اسم مستخدم صالحًا وليس مستخدم root استغلال هذه الثغرة لتنفيذ أوامر شل تعسفية على الخادم. تكمن الثغرة الأمنية في الوحدة النمطية
filemanager، وتحديدًا في طلب changePerm، حيث لا يخضع المعلمة t total للتحقق الكافي من صحة المدخلات. وهذا يسمح للمهاجم بإدخال أحرف خاصة بشل في المعلمة، مما يؤدي إلى تنفيذ الأوامر. وقد تم استغلال هذه الثغرة بشكل نشط في الواقع، مع وجود تقارير تشير إلى أكثر من 1.8 مليون حالة معرضة للخطر. نقطة النهاية المعرضة للخطر هي /admin/loader ajax.php?ajax=filemanager&acc=changePerm، والمعلمة المعرضة للخطر هي t total. تسمح هذه الثغرة للمهاجمين بتنفيذ الأوامر من خلال التلاعب بالمعلمة t total.التوصيات
قم بتحديث CWP إلى الإصدار 0.9.8.1205 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾