2019年6月29日、私たちのチームは CentOS Control Web Panel (CWP) バージョン 0.9.8.836 の脆弱性を調査し始め、いくつかの重大な脆弱性を発見しました。発見した脆弱性の一部は連鎖させることで、匿名ユーザーからルートユーザーまでサーバーを侵害することが可能です。チームが CWP に報告した後、彼らは迅速に対応してくれました。
最終的に、ここで言及されているすべての脆弱性は、CWP バージョン 0.9.8.848 (CVE-2019-133xx) とバージョン 0.9.8.866 (CVE-2019-142xx) で修正されています。
" このリポジトリは教育および研究目的のみを意図しています。私たちは、誰にもこのリポジトリの情報を使って攻撃したり違法行為を行ったりすることを望んでいません（お住まいの国の法律を参照してください）。したがって、このリポジトリの資料に関連するいかなる行動や活動も、すべて利用者自身の責任です。同意しない場合は、このリポジトリにアクセスすることは許可されていません。直ちにこのリポジトリを離れてください。"
CVE-2019-13359 - ルート権限昇格
CVE-2019-13360 - ユーザーパネルのログインバイパス #1
CVE-2019-13605 - ユーザーパネルのログインバイパス #2
CVE-2019-13383 - HTTPレスポンスメッセージによるユーザー列挙
CVE-2019-13385 - login.log によるアクティブユーザー列挙
CVE-2019-13386 - リモートコマンド実行
CVE-2019-13387 - 反射型クロスサイトスクリプティング
CVE-2019-14245 - 任意のデータベース削除
CVE-2019-14246 - 他の phpMyadmin パスワードのリセット
CVE-2019-13599 - HTTP応答時間によるユーザー列挙
CVE-2019-13476 - New Mail Box 経由の格納型クロスサイトスクリプティング
CVE-2019-13477 - ルートユーザーのパスワード変更を目的とした New Mail Box 経由のCSRF
CVE-2019-16295 - 格納型クロスサイトスクリプティング
CVE-2019-XXXXX 近日公開...
このソフトウェアは、ルートパネルとユーザーパネルの2つの部分に分かれています。インストールスクリプトのソフトウェアバージョンを変更して旧バージョンをインストールしようとすると、ルートパネルの以前のバージョンはインストールされますが、ユーザーパネルは最新バージョンのみ利用可能です（特定のバージョンを指定してダウンロードすることはできません）
Pongtorn Angsuchotmetee
Nissana Sirijirakal
Narin Boonwasanarak