CVE-2020-15609

CentOS Web Panel versão cwp-e17.0.9.8.923

Esta vulnerabilidade permite que invasores remotos executem código arbitrário em instalações afetadas. Não é necessária autenticação para explorar esta vulnerabilidade. A falha existe no arquivo ajax dashboard.php, especificamente ao analisar o parâmetro service stop. O processo não valida adequadamente uma string fornecida pelo usuário antes de usá-la para executar uma chamada de sistema, permitindo que um invasor execute código no contexto do root.

Para a versão cwp-e17.0.9.8.923 do CentOS Web Panel, como solução temporária, considere desativar o arquivo ajax dashboard.php ou restringir o acesso ao parâmetro service stop até que um patch esteja disponível. Evite usar o parâmetro service stop no endpoint da API afetado até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para este problema.