CentOS Control Web Panel (الإصدار 0.9.8.836 - 0.9.8.847)

في 29 يونيو 2019، بدأ فريقنا في البحث عن ثغرات في CentOS Control Web Panel (CWP) الإصدار 0.9.8.836، ووجدنا بعض الثغرات الحرجة. بعض الثغرات التي وجدناها يمكن ربطها معًا لاختراق الخادم من مستخدم مجهول إلى مستخدم جذر. بعد أن أبلغ فريقنا CWP، استجابوا لنا بسرعة.

أخيرًا، تم إصلاح جميع الثغرات المذكورة هنا في إصدار CWP 0.9.8.848 (CVE-2019-133xx) والإصدار 0.9.8.866 (CVE-2019-142xx).

" هذا المستودع مخصص للأغراض التعليمية والبحثية فقط. نحن لا نريد من أي شخص استخدام أي معلومات من هذا المستودع للهجوم أو القيام بأي شيء غير قانوني (ارجع إلى قوانين بلدك). لذلك، فإن أي أفعال و/أو أنشطة تتعلق بالمواد الموجودة في هذا المستودع هي مسؤوليتك وحدك. إذا كنت لا توافق، فأنت غير مخول بالوصول إلى هذا المستودع، غادر هذا المستودع فورًا."

قائمة الثغرات

CVE-2019-13359 - تصعيد الامتيازات إلى الجذر
CVE-2019-13360 - تجاوز تسجيل دخول لوحة المستخدم #1
CVE-2019-13605 - تجاوز تسجيل دخول لوحة المستخدم #2
CVE-2019-13383 - تعداد المستخدمين عبر رسالة استجابة HTTP
CVE-2019-13385 - تعداد المستخدمين النشطين عبر login.log
CVE-2019-13386 - تنفيذ الأوامر عن بُعد
CVE-2019-13387 - Cross Site Scripting منعكس
CVE-2019-14245 - إسقاط قاعدة بيانات بشكل تعسفي
CVE-2019-14246 - إعادة تعيين كلمة مرور phpMyadmin لمستخدم آخر
CVE-2019-13599 - تعداد المستخدمين عبر زمن استجابة HTTP
CVE-2019-13476 - Cross Site Scripting (مخزّن) عبر صندوق البريد الجديد
CVE-2019-13477 - CSRF عبر صندوق البريد الجديد لتغيير كلمة مرور المستخدم الجذر
CVE-2019-16295 - Cross Site Scripting (مخزّن)

CVE-2019-XXXXX قريبًا...

البرنامج مقسّم إلى جزأين: لوحة الجذر ولوحة المستخدم. إذا حاولت تثبيت الإصدار القديم عن طريق تغيير إصدار البرنامج في سكربت التثبيت، فستحصل على تثبيت إصدار سابق من لوحة الجذر، ولكن لوحة المستخدم متاحة فقط لأحدث إصدار (لا يمكن تحديد إصدار معين للتنزيل).

اكتشف بواسطة

Pongtorn Angsuchotmetee
Nissana Sirijirakal
Narin Boonwasanarak

CentOS-Control-Web-Panel-CVE

الأكثر شعبية