PT-2024-9697 · Unknown · Cyberpanel

Thottysploity · Publicado 2024-10-30 · Atualizado 2025-09-05 · CVE-2024-53376

Positive Technologies (AI Summary) · Pt

CVSS v2.0

9.0

Alta

Vetor base

AV:N/AC:L/Au:S/C:C/I:C/A:C

Nome do software vulnerável e versões afetadas

Versões do CyberPanel anteriores à 2.3.8

Descrição

A vulnerabilidade existe devido à falta de medidas para neutralizar elementos especiais, permitindo que um invasor remoto execute comandos arbitrários usando uma solicitação HTTP OPTIONS especialmente criada. Isso pode ser feito explorando metacaracteres de shell no campo phpSelection do URI “websites/submitWebsiteCreation”. Estima-se que mais de 870.000 serviços estejam potencialmente afetados.

Recomendações

Para versões anteriores à 2.3.8, atualize para a versão 2.3.8 ou posterior para resolver o problema.

Como solução temporária, considere restringir o acesso ao campo phpSelection na URI “websites/submitWebsiteCreation” até que um patch esteja disponível.

Evite usar o campo phpSelection no endpoint da API afetado até que o problema seja resolvido.

Exploit

Correção

OS Command Injection

Enumeração de Fraquezas

CWE-78

Identificadores relacionados

BDU:2024-11417

CVE-2024-53376

Produtos afetados

Cyberpanel

Referências · 27

• 🔥 https://github.com/ThottySploity/CVE-2024-53376 · Exploit
• 🔥 https://github.com/ThottySploity/CVE-2024-53376/blob/aa306187323bd1127d56803cb34cac8820b61484/cyberpanel.py#L70 · Exploit
• 🔥 https://github.com/ThottySploity/CVE-2024-53376/blob/aa306187323bd1127d56803cb34cac8820b61484/cyberpanel.py · Exploit
• 🔥 https://thottysploity.github.io/posts/cve-2024-53376 · Exploit
• https://twitter.com/zoomeye_team/status/1869648578517626917 · Publicação no Twitter
• https://twitter.com/fridaysecurity/status/1869206396992119137 · Publicação no Twitter
• https://t.me/cveNotify/134345 · Publicação no Telegram
• https://twitter.com/fofabot/status/1869316018914627733 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/1868430895499153841 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1868504732677111997 · Publicação no Twitter
• https://t.me/pentestingnews/54399 · Publicação no Telegram
• https://t.me/four_rays/27 · Publicação no Telegram
• https://twitter.com/HunterMapping/status/1869278956077109316 · Publicação no Twitter
• https://twitter.com/the_yellow_fall/status/1869205855402639370 · Publicação no Twitter
• https://t.me/cvedetector/12957 · Publicação no Telegram