CVE-2020-15612

CentOS Web Panel versão cwp-e17.0.9.8.923

Esta vulnerabilidade permite que invasores remotos executem código arbitrário em instalações afetadas. Não é necessária autenticação para explorar esta vulnerabilidade. A falha existe no arquivo ajax ftp manager.php, especificamente ao analisar o parâmetro userLogin. O processo não valida adequadamente uma string fornecida pelo usuário antes de usá-la para executar uma chamada de sistema, permitindo que um invasor execute código no contexto do root.

Para a versão cwp-e17.0.9.8.923 do CentOS Web Panel, considere desativar o arquivo ajax ftp manager.php ou restringir o acesso a ele até que um patch esteja disponível. Como solução temporária, evite usar o parâmetro userLogin no endpoint da API afetado até que a vulnerabilidade seja resolvida. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.