PT-2020-11987 · Centos · Centos Web Panel

Berke Yilmaz · Publicado 2020-03-16 · Atualizado 2023-01-24 · CVE-2020-10230

Positive Technologies (AI Summary) · Pt

CVSS v2.0

7.5

Alta

Vetor base

AV:N/AC:L/Au:N/C:P/I:P/A:P

Nome do software vulnerável e versões afetadas

Versões do CentOS Web Panel para CentOS 6 e 7

Descrição

A vulnerabilidade permite a injeção de SQL por meio do endpoint da API “/cwp {SESSION HASH}/admin/loader ajax.php”, especificamente através do parâmetro term. Isso permite que possíveis invasores injetem código SQL malicioso.

Recomendações

Para as versões do CentOS Web Panel para CentOS 6 e 7, considere restringir o acesso ao endpoint da API “/cwp {SESSION HASH}/admin/loader ajax.php” até que uma correção esteja disponível. Como solução temporária, evite usar o parâmetro term no endpoint da API afetado para minimizar o risco de exploração.

Exploit

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2020-10230

Produtos afetados

Centos Web Panel

Referências · 4

• 🔥 https://exploit-db.com/exploits/48212 · Exploit
• https://t.me/cvenotify/1751 · Publicação no Telegram
• https://centos-webpanel.com/changelog-cwp7 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-10230 · Nota de Segurança