PT-2026-42016 · Ctrlpanel · Ctrlpanel

CVE-2026-34234 · Publicado 2026-05-19 · Atualizado 2026-06-04

Positive Technologies (AI Summary) · Pt

CVSS v3.1

10

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas CtrlPanel versões anteriores a 1.2.0

Descrição O instalador baseado na web no endpoint "public/installer/index.php" permite a Execução Remota de Código (RCE), que é a capacidade de executar comandos arbitrários em uma máquina remota, sem autenticação. O problema ocorre porque o sistema executa arquivos de manipulação de formulários antes de verificar o arquivo install.lock, mantendo os endpoints do instalador acessíveis mesmo após a instalação. Além disso, esses manipuladores passam entradas de usuário não sanitizadas diretamente para comandos do shell. Foi relatado que este problema está sendo explorado ativamente.

Recomendações Atualize para a versão 1.2.0.

Exploit

Correção

RCE

OS Command Injection

Improper Access Control

Enumeração de Fraquezas

CWE-78

CWE-284

Identificadores relacionados

CVE-2026-34234

GHSA-JMHR-Q9Q5-FQWH

Produtos afetados

Ctrlpanel

Referências · 10

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/34xxx/CVE-2026-34234.json · Exploit
• 🔥 https://github.com/Ctrlpanel-gg/panel/security/advisories/GHSA-jmhr-q9q5-fqwh · Exploit
• https://github.com/Ctrlpanel-gg/panel/releases/tag/1.2.0 · Nota
• https://t.me/cveNotify/164223 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2026-34234 · Nota de Segurança
• https://twitter.com/CVEnew/status/2056870178437083400 · Publicação no Twitter
• https://twitter.com/TuringCyberObs/status/2057480013214023760 · Publicação no Twitter
• https://twitter.com/integ_sec/status/2062528826316394647 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2026-34234 · Aviso do Fabricante
• https://t.me/CVEtracker/54291 · Publicação no Telegram