ثغرة كتابة الملفات وحقن الأوامر في Control Web Panel (CWP) < 1.16

ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.

الملخص

تحتوي Control Web Panel (CWP) قبل إصدار webpanel_version 1.16 على ثغرة كتابة ملفات عشوائية وحقن أوامر نظام التشغيل في وحدة لوحة المستخدم phpini_editor. يؤدي إجراء acc=update إلى كتابة محتوى يتحكم فيه المهاجم إلى مسار يقدمه المهاجم عبر دالة file_put_contents دون تقييد المسار، بينما تمرر إجراءات acc=addlabelphpiniadv مدخلات المهاجم غير المعقمة إلى دالة shell_exec دون الهروب. يمكن للمهاجم الذي يمتلك حق الوصول إلى الوحدة كتابة ملفات عشوائية وتنفيذ أوامر نظام تشغيل عشوائية، مما يؤدي إلى تنفيذ أوامر عن بُعد.

المعالجة

1. أحصِ جميع نشرات Control Web Panel Control Web Panel، بما فيها بيئات الاختبار.
2. رقِّ Control Web Panel Control Web Panel إلى الإصدار 1.16.
3. تحقق من الإصدار العامل بعد الترقية.

المراجع

• تصحيحhttps://control-webpanel.com/changelog
• تحذيرhttps://www.vulncheck.com/advisories/control-web-panel-cwp-file-write-and-command-injection
• تحذيرhttps://www.vulncheck.com/advisories/control-web-panel-cwp-file-write-and-command-injection-via-phpini-editor
• مرجعhttps://www.vulncheck.com/blog/control-web-panel-pre-auth-module-dispatch-rce