CVE-2020-15618

CentOS Web Panel versão cwp-e17.0.9.8.923

Esta vulnerabilidade permite que invasores remotos divulguem informações confidenciais em instalações afetadas sem a necessidade de autenticação. A falha está presente no arquivo ajax list accounts.php, especificamente ao analisar o parâmetro username. O processo não valida adequadamente as cadeias de caracteres fornecidas pelo usuário antes de usá-las para construir consultas SQL, permitindo que um invasor divulgue informações no contexto do root.

Para o CentOS Web Panel versão cwp-e17.0.9.8.923, considere desativar o arquivo ajax list accounts.php ou restringir o acesso a ele até que um patch esteja disponível. Evite usar o parâmetro username no endpoint da API afetado até que a vulnerabilidade seja resolvida. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.