CVE-2013-10053

Nome do Software Vulnerável e Versões Afetadas ZPanel versão 10.0.0.2

Descrição Existe uma vulnerabilidade de execução remota de comandos no módulo htpasswd. O campo inHTUsername, ao criar arquivos .htaccess, é passado para uma chamada system() sem sanitização adequada, o que invoca o binário htpasswd do sistema. Um atacante autenticado pode executar comandos arbitrários no sistema injetando metacaracteres de shell no campo username. A exploração requer uma conta válida do ZPanel dentro dos grupos Users, Resellers ou Administrators, mas não requer privilégios elevados.

Recomendações Garanta que o campo inHTUsername seja adequadamente sanitizado antes de ser passado para a chamada system() ao criar arquivos .htaccess.