Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2026-13681

Опубликовано: 15 мар. 2021
Источник: fstec
CVSS3: 7.2
CVSS2: 9
EPSS Низкий

Описание

Уязвимость панели управления сервером Vesta Control Panel непринятием мер по очистке данных на управляющем уровне. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнять произвольные команды через параметр v_sftp_license при отправке HTTP-запросов POST к конечной точке /edit/server

Вендор

Vesta

Наименование ПО

Vesta Control Panel
myVesta Control Panel

Версия ПО

до 0,9,8-26 (Vesta Control Panel)
до 0.9.8-26-43 (myVesta Control Panel)

Тип ПО

ПО сетевого программно-аппаратного средства
Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

-

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 9)
Высокий уровень опасности (базовая оценка CVSS 3.1 составляет 7,2)

Возможные меры по устранению уязвимости

Использование рекомендаций:
https://github.com/myvesta/vesta/releases/tag/0.9.8-26-43
https://github.com/serghey-rodin/vesta/commit/a4e4542a6d1351c2857b169f8621dd9a13a2e896
https://github.com/myvesta/vesta/commit/7991753ab7c5c568768028fb77554db8ea149f17

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 92%
0.05355
Низкий

7.2 High

CVSS3

9 Critical

CVSS2

Связанные уязвимости

CVSS3: 7.2
nvd
почти 4 года назад

myVesta Control Panel before 0.9.8-26-43 and Vesta Control Panel before 0.9.8-26 are vulnerable to command injection. An authenticated and remote administrative user can execute arbitrary commands via the v_sftp_license parameter when sending HTTP POST requests to the /edit/server endpoint.

CVSS3: 7.2
github
почти 4 года назад

myVesta Control Panel before 0.9.8-26-43 and Vesta Control Panel before 0.9.8-26 are vulnerable to command injection. An authenticated and remote administrative user can execute arbitrary commands via the v_sftp_license parameter when sending HTTP POST requests to the /edit/server endpoint.

EPSS

Процентиль: 92%
0.05355
Низкий

7.2 High

CVSS3

9 Critical

CVSS2