CVE-2026-113506
KrytyczneCVSS 9.9Streszczenie
W aaPanel do wersji 8.25.0 wykryto podatność w funkcji ExecShell w pliku class/public/common.py komponentu File Manager. Manipulacja argumentami sfile/dfile/access/user prowadzi do wstrzyknięcia poleceń systemu operacyjnego, możliwego do wykorzystania zdalnie. Exploit został publicznie ujawniony, a producent potwierdza, że zgłoszone podatności RCE i LFI wymagają uwierzytelnienia.
Ocena ryzyka
Uwierzytelniony atakujący może wykonać dowolne polecenia na serwerze, co grozi pełnym przejęciem hosta i utratą danych. Publiczna dostępność exploitu zwiększa ryzyko szybkiego wykorzystania.
Rekomendacja
Zaktualizuj aaPanel do wersji nowszej niż 8.25.0, gdy tylko poprawka będzie dostępna, oraz ogranicz dostęp do panelu i kont uprzywilejowanych. Monitoruj logi pod kątem nietypowych wywołań File Manager.
Inne podatności w aaPanel
Zobacz wszystkie- CVE-2026-113505Średnie
W aaPanel do wersji 8.25.0 funkcja send_file w pliku BTPanel/routes/v2.py komponentu Download Endpoint pozwala na manipulację argumentem filename prowadzącą do path traversal. Atak można wykonać zdalnie, a exploit został opublikowany i może być użyty; według dostawcy zgłoszone podatności RCE i LFI wymagają uwierzytelnienia.
- CVE-2026-113507Średnie
W aaPanel do wersji 8.25.0 funkcja GetClientIp w pliku class/public/common.py manipuluje argumentem X-Real-Ip, co prowadzi do niewłaściwej kontroli dostępu. Atak może być przeprowadzony zdalnie. Exploit został upubliczniony i może być użyty. Producent potwierdza, że zgłoszona luka obejścia IP przez X-Real-Ip została już naprawiona.
Oryginalny opis (angielski, źródło NVD)
A vulnerability has been found in aaPanel up to 8.25.0. The affected element is the function ExecShell of the file class/public/common.py of the component File Manager. The manipulation of the argument sfile/dfile/access/user leads to os command injection. The attack is possible to be carried out remotely. The exploit has been disclosed to the public and may be used. The vendor confirms: "The reported RCE and LFI vulnerabilities require authentication."
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS