Centos · Centos Web Panel · CVE-2020-15628
**Nome do software vulnerável e versões afetadas**
CentOS Web Panel versão cwp-e17.0.9.8.923
**Descrição**
Esta vulnerabilidade permite que invasores remotos divulguem informações confidenciais em instalações afetadas sem a necessidade de autenticação. A falha está presente no arquivo `ajax mail autoreply.php`, especificamente durante a análise do parâmetro `user`. O processo não valida adequadamente uma string fornecida pelo usuário antes de usá-la para construir consultas SQL, permitindo que um invasor divulgue informações no contexto do root.
**Recomendações**
Para o CentOS Web Panel versão cwp-e17.0.9.8.923, considere restringir o acesso ao arquivo `ajax mail autoreply.php` até que um patch esteja disponível. Como solução temporária, evite usar o parâmetro `user` no endpoint afetado para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.