CVE-2024-51567

Nome do software vulnerável e versões afetadas:

Versões do CyberPanel até a 2.3.6 e a 2.3.7 (sem patch)

Descrição:

O problema está relacionado à função upgrademysqlstatus no CyberPanel, que possui procedimentos de autenticação inadequados. Isso permite que um invasor remoto contorne a autenticação e execute comandos arbitrários através do endpoint /dataBases/upgrademysqlstatus, utilizando metacaracteres de shell na propriedade statusfile. A vulnerabilidade foi explorada em ambiente real em outubro de 2024 pelo PSAUX.

Recomendações:

Para as versões até 2.3.6 e (sem patch) 2.3.7, considere desativar a função upgrademysqlstatus em databases/views.py para impedir a exploração até que um patch esteja disponível.

Restrinja o acesso ao endpoint /dataBases/upgrademysqlstatus para minimizar o risco de exploração.

Evite usar a propriedade statusfile no endpoint afetado até que o problema seja resolvido.