PT-2026-42014 · Ctrlpanel · Ctrlpanel

CVE-2026-34233 · Publicado 2026-05-19 · Atualizado 2026-05-20

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas CtrlPanel versões anteriores a 1.2.0

Descrição Múltiplos controladores administrativos expõem endpoints DataTable que carecem de verificações de autorização. Isso permite que qualquer usuário autenticado, independentemente de sua função atribuída, acesse dados administrativos sensíveis por meio de requisições GET. Embora essas rotas utilizem o prefixo '/admin/', o middleware associado não impõe permissões de nível administrativo nas funções datatable(). Isso pode levar à exposição de informações de identificação pessoal (PII) de usuários, registros de pagamentos e transações, códigos de vouchers e cupons ativos, estrutura de funções e permissões, mapeamentos de propriedade de servidores e conteúdo de tickets de suporte.

Recomendações Atualizar para a versão 1.2.0.

Exploit

Correção

Missing Authorization

Improper Access Control

Enumeração de Fraquezas

CWE-862

CWE-284

Identificadores relacionados

CVE-2026-34233

GHSA-MJ5G-J7FQ-7HC4

Produtos afetados

Ctrlpanel

Referências · 8

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/34xxx/CVE-2026-34233.json · Exploit
• https://github.com/Ctrlpanel-gg/panel/security/advisories/GHSA-mj5g-j7fq-7hc4 · Nota
• https://github.com/Ctrlpanel-gg/panel/releases/tag/1.2.0 · Nota
• https://t.me/CVEtracker/54285 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2026-34233 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2026-34233 · Aviso do Fabricante
• https://t.me/cveNotify/164219 · Publicação no Telegram
• https://twitter.com/CVEnew/status/2056870179519221910 · Publicação no Twitter