CVE-2026-41473 — CyberPanel AI स्कैनर अनधिकृत रीड/राइट API एक्सेस

CVE-2026-41473 के लिए Nuclei डिटेक्शन टेम्पलेट, जो 2.4.4 से पहले के CyberPanel संस्करणों को प्रभावित करता है।

भेद्यता

CyberPanel का AI स्कैनर फीचर प्रमाणीकरण के बिना दो API एंडपॉइंट्स उजागर करता है:

एंडपॉइंट	विधि	प्रभाव
`/api/ai-scanner/list-api-keys`	GET	एडमिन उपयोगकर्ता नाम, API कुंजी उपसर्ग, होस्टेड डोमेन नाम और स्कैन आईडी प्रकट करता है
`/api/ai-scanner/callback`	POST	प्रमाणीकरण के बिना स्कैन इतिहास में मनमाने राइट्स स्वीकार करता है

दोनों एंडपॉइंट्स /api/* URL उपसर्ग के अंतर्गत आते हैं, जिसे CyberPanel का secMiddleware सत्र प्रमाणीकरण जाँचों से बिना शर्त छूट देता है। किसी भी एंडपॉइंट तक पहुँचने के लिए किसी भी प्रकार का टोकन, सत्र कुकी या क्रेडेंशियल आवश्यक नहीं है।

रीड एंडपॉइंट लक्ष्य एन्यूमरेशन को सक्षम करता है। राइट एंडपॉइंट स्कैन इतिहास भ्रष्टाचार को सक्षम करता है और, AI स्कैनर डैशबोर्ड में संग्रहीत XSS (CVE-2026-41472) के साथ श्रृंखलाबद्ध होने पर, क्रॉन जॉब हेरफेर के माध्यम से अनधिकृत रिमोट कोड निष्पादन प्राप्त करता है।

CVSS 3.1: AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H — 9.8 क्रिटिकल

CWE: CWE-306 (महत्वपूर्ण फ़ंक्शन के लिए लापता प्रमाणीकरण)

इसमें फिक्स किया गया: CyberPanel 2.4.4 (कमिट 8eb29181cb137baa4adb4bba5dce60f601d55a5f)

टेम्पलेट कैसे काम करता है

टेम्पलेट दो अनुरोध भेजता है:

अनुरोध 1 — GET /api/ai-scanner/list-api-keys

पुष्टि करता है कि लक्ष्य AI स्कैनर फीचर सक्षम और रीड एंडपॉइंट असुरक्षित वाला CyberPanel इंस्टेंस है। HTTP 200 के साथ JSON संरचना (api_keys, recent_scans, is_payment_configured) पर मेल खाता है। एडमिन उपयोगकर्ता नाम, API कुंजी उपसर्ग, डोमेन नाम और स्कैन आईडी को नामित आउटपुट के रूप में निकालता है।

अनुरोध 2 — खाली बॉडी {} के साथ POST /api/ai-scanner/callback

बिना कोई वास्तविक राइट किए राइट एंडपॉइंट की जाँच करता है। खाली बॉडी का मतलब है कि कोई scan_id मौजूद नहीं है, इसलिए सर्वर किसी भी मौजूदा ScanHistory रिकॉर्ड से मेल नहीं खा सकता या उसे संशोधित नहीं कर सकता। कमजोर सर्वर (< 2.4.4) पर, प्रमाणीकरण जाँच छोड़ दी जाती है और Django त्रुटि बॉडी में scan_id के साथ HTTP 400 लौटाता है — सर्वर बिना कभी प्रमाणीकरण लागू किए इनपुट सत्यापन तक पहुँच गया। पैच किए गए सर्वर (≥ 2.4.4) पर, X-API-Key हेडर जाँच पहले चलती है और scan_id पढ़े जाने से पहले ही HTTP 401 लौटाती है।

मैच के लिए निम्नलिखित सभी आवश्यक हैं:

अनुरोध 1: HTTP 200 + CyberPanel AI स्कैनर JSON संरचना
अनुरोध 2: HTTP 400 + प्रतिक्रिया बॉडी में scan_id + application/json सामग्री प्रकार

यह संयोजन पुष्टि करता है कि दोनों अनुरोधों पर बिना किसी प्रमाणीकरण के CyberPanel AI स्कैनर लॉजिक तक पहुँचा गया था, साथ ही WAF ब्लॉक, रिवर्स प्रॉक्सी त्रुटियों और असंबंधित 400 प्रतिक्रियाओं को खारिज करता है।

उपयोग

nuclei -t cyberpanel-aisscanner-unauth-rw-cve-2026-41473.yaml -u https://target:8090

# Against a list of targets
nuclei -t cyberpanel-aisscanner-unauth-rw-cve-2026-41473.yaml -l targets.txt

प्रभावित संस्करण

संस्करण	स्थिति
AI स्कैनर के साथ CyberPanel < 2.4.4	कमजोर
CyberPanel ≥ 2.4.4	पैच किया गया
AI स्कैनर मॉड्यूल के बिना CyberPanel	प्रभावित नहीं

AI स्कैनर फीचर के बिना CyberPanel इंस्टेंस (आमतौर पर 2.3 से पहले के संस्करण) मेल नहीं खाएँगे — list-api-keys एंडपॉइंट 404 लौटाएगा और टेम्पलेट फायर नहीं होगा।

संदर्भ

NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-41473
फिक्स कमिट: https://github.com/usmannasir/cyberpanel/commit/8eb29181cb137baa4adb4bba5dce60f601d55a5f
संबंधित: CVE-2026-41472 (अनधिकृत कॉलबैक के माध्यम से संग्रहीत XSS — समान फिक्स कमिट)

CVE-2026-41473-CyberPanel-AI-Scanner-Unauth

सबसे लोकप्रिय