Control Web Panel (CWP) < 1.30: الوصول إلى الجذر عبر واجهة برمجة التطبيقات المحلية دون مصادقة

ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.

الملخص

يحتوي Control Web Panel (CWP) الأقدم من webpanel_version 1.30 على ثغرة غياب المصادقة التي تتيح للمهاجمين القادرين على الوصول إلى خدمة واجهة برمجة التطبيقات المحلية استدعاء مسارات واجهة برمجة التطبيقات ذات صلاحيات root دون تقديم رمز وصول. يمكن للمهاجمين الوصول إلى نقاط النهاية مثل /v1/restoredatabase/ و /generaluser/ و /last_access/ و /valid_user/ و /valid_token/ و /user_panel_dashboard/ لإجراء عمليات غير مصرح بها بصلاحيات root.

المعالجة

1. أحصِ جميع نشرات Control Web Panel Control Web Panel، بما فيها بيئات الاختبار.
2. رقِّ Control Web Panel Control Web Panel إلى الإصدار المصحَّح الخاص بفرعك، كما يظهر في جدول الإصدارات المتأثرة.
3. تحقق من الإصدار العامل بعد الترقية.

المراجع

• تصحيحhttps://control-webpanel.com/changelog
• تحذيرhttps://www.vulncheck.com/advisories/control-web-panel-cwp-unauthenticated-loopback-api-root-access
• مرجعhttps://www.vulncheck.com/blog/control-web-panel-pre-auth-module-dispatch-rce