CVE-2024-51567criticalbajo ataqueransomwareCWE-306

CVE-2024-51567

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear CyberPanel

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

100Vexday Risk Score

Corrige ahora. Ella está bajo explotación confirmada por CISA y tiene exploit funcional público.

ssvc Actcvss 10epss 84%
de la publicación al arma2 días
Publicada en NVD29 oct
1ª PoC+2d
metasploit27 oct
CISA KEV+9d
Acción exigida por CISAplazo federal: 2024-11-28

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

En resumen

CyberPanel tiene una falla crítica donde atacantes pueden eludir verificaciones de autenticación y ejecutar comandos peligrosos en el servidor mediante una URL específica. Esto ocurre porque la verificación de seguridad solo funciona para ciertos tipos de solicitudes, dejando un agujero que permite al atacante tomar control total.

Detalle técnico

El endpoint upgrademysqlstatus en databases/views.py carece de validación adecuada de autenticación porque secMiddleware solo protege solicitudes POST, permitiendo bypass de autenticación mediante otros métodos HTTP e inyección de comandos shell arbitrarios en el parámetro statusfile. La explotación exitosa otorga ejecución remota de código no autenticada con privilegios del servidor.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

upgrademysqlstatus in databases/views.py in CyberPanel (aka Cyber Panel) before 5b08cd6 allows remote attackers to bypass authentication and execute arbitrary commands via /dataBases/upgrademysqlstatus by bypassing secMiddleware (which is only for a POST request) and using shell metacharacters in the statusfile property, as exploited in the wild in October 2024 by PSAUX. Versions through 2.3.6 and (unpatched) 2.3.7 are affected.
CVSS:3.1/AC:L/AV:N/A:H/C:H/I:H/PR:N/S:C/UI:N
Productos afectados
n/a · n/a
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.