CVE-2020-15617

CentOS Web Panel versão cwp-e17.0.9.8.923

Esta vulnerabilidade permite que invasores remotos divulguem informações confidenciais em instalações afetadas sem a necessidade de autenticação. A falha está presente no arquivo ajax list accounts.php, especificamente ao analisar o parâmetro status. O processo não valida adequadamente uma string fornecida pelo usuário antes de usá-la para construir consultas SQL, permitindo que um invasor divulgue informações no contexto do root.

Para o CentOS Web Panel versão cwp-e17.0.9.8.923, considere restringir o acesso ao arquivo ajax list accounts.php até que um patch esteja disponível. Como solução temporária, evite usar o parâmetro status no endpoint da API afetado até que a vulnerabilidade seja resolvida.