CVE-2026-113505
ŚrednieCVSS 4.3Streszczenie
W aaPanel do wersji 8.25.0 funkcja send_file w pliku BTPanel/routes/v2.py komponentu Download Endpoint pozwala na manipulację argumentem filename prowadzącą do path traversal. Atak można wykonać zdalnie, a exploit został opublikowany i może być użyty; według dostawcy zgłoszone podatności RCE i LFI wymagają uwierzytelnienia.
Ocena ryzyka
Atakujący może wykorzystać path traversal do dostępu do plików poza zamierzonym katalogiem, co potencjalnie prowadzi do ujawnienia danych lub dalszej eksploatacji.
Rekomendacja
Zaktualizuj aaPanel do wersji nowszej niż 8.25.0, jeśli jest dostępna, oraz ogranicz dostęp do punktu końcowego pobierania i egzekwuj silne uwierzytelnianie.
Inne podatności w aaPanel
Zobacz wszystkie- CVE-2026-113506Krytyczne
W aaPanel do wersji 8.25.0 wykryto podatność w funkcji ExecShell w pliku class/public/common.py komponentu File Manager. Manipulacja argumentami sfile/dfile/access/user prowadzi do wstrzyknięcia poleceń systemu operacyjnego, możliwego do wykorzystania zdalnie. Exploit został publicznie ujawniony, a producent potwierdza, że zgłoszone podatności RCE i LFI wymagają uwierzytelnienia.
- CVE-2026-113507Średnie
W aaPanel do wersji 8.25.0 funkcja GetClientIp w pliku class/public/common.py manipuluje argumentem X-Real-Ip, co prowadzi do niewłaściwej kontroli dostępu. Atak może być przeprowadzony zdalnie. Exploit został upubliczniony i może być użyty. Producent potwierdza, że zgłoszona luka obejścia IP przez X-Real-Ip została już naprawiona.
Oryginalny opis (angielski, źródło NVD)
A flaw has been found in aaPanel up to 8.25.0. Impacted is the function send_file of the file BTPanel/routes/v2.py of the component Download Endpoint. Executing a manipulation of the argument filename can lead to path traversal. The attack can be executed remotely. The exploit has been published and may be used. The vendor confirms: "The reported RCE and LFI vulnerabilities require authentication."
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS