CVE-2026-34234
CtrlPanel: RCE non autenticata tramite script di installazione
- Pubblicato
- 19 mag 2026
- Aggiornato
- 20 mag 2026
- Assegnazione CNA
- GitHub_M
- Evidenza osservata
- 8 ago 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:HBasso · prossimi 30 giorni
- Percentile
- 87,2%
- Data del modello
- 21 set 2026
L'EPSS è una stima statistica, non una certezza o una misura di impatto. Combinalo con CVSS, stato KEV, esposizione e ambiente.
Riepilogo
CtrlPanel è un software di fatturazione open-source per provider di hosting. Nelle versioni 1.1.1 e precedenti, il programma di installazione basato sul web (public/installer/index.php) è vulnerabile a Remote Code Execution (RCE) non autenticata perché esegue il controllo di install.lock solo dopo aver incluso ed eseguito i file di gestione dei moduli, lasciando gli endpoint dell'installer raggiungibili su istanze già installate. I gestori passano inoltre input utente non sanificati direttamente nei comandi shell, consentendo a un attaccante di inviare richieste appositamente predisposte che eseguono comandi arbitrari sul server. La vulnerabilità deriva da due debolezze combinate: (1) esecuzione prematura dei gestori dei moduli prima del controllo del file di lock, e (2) uso non sicuro dell'input utente nella costruzione dei comandi shell. Questo problema risulta essere attivamente sfruttato in natura. Il problema è stato risolto nella versione 1.2.0.
Fonti
1# Laboratorio Docker locale che dimostra la RCE non autenticata CVE-2026-34234 nel programma di installazione web di CtrlPanel Include container vulnerabili e corretti, script PoC e analisi della causa principale per la ricerca sulla sicurezza e la validazione difensiva.
Utilizzo responsabile
Utilizza le informazioni sulla vulnerabilità solo sui sistemi che possiedi o che sei autorizzato a testare. Kitploit si collega ai metadati della ricerca pubblica e non memorizza codici exploit o payload dannosi.