CyberPanel कमांड इंजेक्शन भेद्यता - CVE-2024-51378

कमांड इंजेक्शन के माध्यम से CyberPanel Pre-Auth RCE (रिमोट कोड एक्ज़ीक्यूशन) के लिए एक्सप्लॉइट
लेखक: Luka Petrovic (refr4g)
खुलासा तिथि: अक्टूबर 2024

अवलोकन

CyberPanel में कमांड इंजेक्शन भेद्यता (CVE-2024-51378) के लिए proof-of-concept (PoC) एक्सप्लॉइट। यह भेद्यता बिना प्रमाणीकरण के हमलावरों को /dns/getresetstatus और /ftp/getresetstatus एंडपॉइंट्स पर क्राफ्टेड OPTIONS HTTP अनुरोध भेजकर कमजोर सर्वरों पर मनमाने कमांड इंजेक्ट और निष्पादित करने में सक्षम बनाती है, जिससे संभावित रूप से पूर्ण सिस्टम समझौता हो सकता है।

प्रभाव

CyberPanel इंटरफ़ेस तक नेटवर्क पहुंच रखने वाला हमलावर इस भेद्यता का उपयोग करके प्रभावित सिस्टम पर पूर्ण नियंत्रण प्राप्त कर सकता है।

एक्सप्लॉइट विवरण

• कमजोर संस्करण: CyberPanel v2.3.5, v2.3.6, v.2.3.7 (पैच से पहले)
• शोषण विधि: /dns/getresetstatus और /ftp/getresetstatus CyberPanel एंडपॉइंट्स पर क्राफ्टेड अनुरोधों के माध्यम से कमांड इंजेक्शन।
• आवश्यकताएँ: CyberPanel इंटरफ़ेस तक नेटवर्क पहुंच।