CVE-2021-37840
aaPanel fino alla 6.8.12 consente il dirottamento WebSocket cross-site (CSWH) che coinvolge comandi di sistema operativo all'interno di messaggi WebSocket...
- Pubblicato
- 2 ago 2021
- Aggiornato
- 4 ago 2024
- Assegnazione CNA
- mitre
- Evidenza osservata
- 17 ago 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HBasso · prossimi 30 giorni
- Percentile
- 75,5%
- Data del modello
- 21 set 2026
L'EPSS è una stima statistica, non una certezza o una misura di impatto. Combinalo con CVSS, stato KEV, esposizione e ambiente.
Riepilogo
# aaPanel fino alla 6.8.12 consente il dirottamento WebSocket cross-site (CSWH) che coinvolge comandi di sistema operativo all'interno di messaggi WebSocket su un URL ws:// per /webssh (la vittima deve aver configurato Terminal con almeno un host). Lo sfruttamento riuscito dipende dal browser utilizzato da una potenziale vittima (ad esempio, lo sfruttamento può avvenire con Firefox ma non con Chrome).
Fonti
1- aapanel-ws-bypassExploit
aaPanel WebSocket CSRF Bypass che porta a RCE (Correzione incompleta per CVE-2021-37840)
Utilizzo responsabile
Utilizza le informazioni sulla vulnerabilità solo sui sistemi che possiedi o che sei autorizzato a testare. Kitploit si collega ai metadati della ricerca pubblica e non memorizza codici exploit o payload dannosi.