LiteSpeed cPanel plugin, CloudLinux/CageFS ile çalışan paylaşılan bir barındırma sunucusunda FTP veya web shell erişimi olan bir kullanıcının kötüye kullanmasına olanak verebilecek bir UNIX sembolik bağlantı (Symlink) takip zafiyeti içerir.
Bu açık CISA tarafından aktif istismar edildiği doğrulanmış açıklar katalogunda yer alıyor. Teorik bir risk değil — sahada kullanılıyor.
LiteSpeed cPanel plugin, CloudLinux/CageFS ile çalışan paylaşılan bir barındırma sunucusunda FTP veya web shell erişimi olan bir kullanıcının kötüye kullanmasına olanak verebilecek bir UNIX sembolik bağlantı (Symlink) takip zafiyeti içerir.
Üretici talimatlarına uygun olarak hafifletmeleri uygulayın; CISA’nın BOD 26-04 Prioritizing Security Updates Based on Risk (bkz. Notlar'daki URL) yönlendirmesi ve CISA’nın "Forensics Triage Requirements" (bkz. Notlar'daki URL) ile uyumluluğu sağlayın. Cloud hizmetleri için geçerli olan BOD 26-04 yönergelerini uygulayın veya hafifletmeler kullanılamıyorsa ürünün kullanımını sonlandırın. Paydaşlar, her varlığın internete maruziyetini değerlendirmekten ve BOD 26-04 yama yönergelerine uyumu sağlamaktan sorumludur.
Eval enjeksiyonu, cPanel 11.138.0.0 ve öncesinde uzaktan kimlik doğrulaması yapılmış kullanıcıların root olarak rastgele kod çalıştırmasına olanak tanır.
cPanel'de HTTP isteği kaçırma, kimlik bilgilerinin sızmasına yol açabilir.
cPanel'de veritabanları yeniden adlandırılırken SQL modunun yanlış korunması root bağlamında SQL yürütülmesine izin veriyor.