CVE-2025-66292

Nome do Software Vulnerável e Versões Afetadas Versões do DPanel anteriores à 1.9.2

Descrição O DPanel possui uma vulnerabilidade de exclusão arbitrária de arquivos no endpoint da API /api/common/attach/delete. Usuários autenticados podem excluir arquivos arbitrários no servidor através de path traversal. O problema reside na função Delete dentro do arquivo app/common/http/controller/attach.go. O parâmetro path, submetido pelo usuário, é passado diretamente para storage.Local{}.GetSaveRealPath e subsequentemente para os.Remove sem a devida sanitização ou verificação de caracteres de path traversal (ex.: ../). A função auxiliar em common/service/storage/local.go usa filepath.Join, que resolve ../ mas não impõe um chroot ou jail. Uma prova de conceito demonstra a capacidade de excluir arquivos ao enviar uma requisição POST para o endpoint /dpanel/api/common/attach/delete com um parâmetro path manipulado. O token Authorization é necessário para autenticação. O parâmetro vulnerável é path.

Recomendações Versões anteriores à 1.9.2 devem ser atualizadas para a versão 1.9.2 ou posterior.