- Son 7 gün
- CWE-22
CVE-2026-113505
aaPanel Download Endpoint v2.py send_file fonksiyonunda dizin geçişi (path traversal) açığı
- Yayımlandı
- Güncellendi
- 21 Eki 2026
- Açık yaşı
- 7 gün
- Kaydı açan
- VulDB
ÖzetTürkçe
aaPanel sürüm 8.25.0'a kadar olan sürümlerde bir kusur tespit edilmiştir. Etkilenen bileşen Download Endpoint içindeki BTPanel/routes/v2.py dosyasının send_file fonksiyonudur. filename argümanının manipüle edilmesi dizin geçişi (path traversal) ile sonuçlanabilir. Saldırı uzaktan gerçekleştirilebilir. Istismar kodu yayımlanmıştır ve kullanılabilir durumdadır. Satıcı, bildirilen uzaktan kod çalıştırma (RCE) ve yerel dosya ekleme (LFI) açıklarının kimlik doğrulama gerektirdiğini doğrulamıştır: "The reported RCE and LFI vulnerabilities require authentication."
Kaynaktaki açıklama (İngilizce)
A flaw has been found in aaPanel up to 8.25.0. Impacted is the function send_file of the file BTPanel/routes/v2.py of the component Download Endpoint. Executing a manipulation of the argument filename can lead to path traversal. The attack can be executed remotely. The exploit has been published and may be used. The vendor confirms: "The reported RCE and LFI vulnerabilities require authentication."
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| aaPanel | 8.0 | – |
| 8.1 | – | |
| 8.2 | – | |
| 8.3 | – | |
| 8.4 | – | |
| 8.5 | – | |
| 8.6 | – | |
| 8.7 | – | |
| 8.8 | – | |
| 8.9 | – | |
| 8.10 | – | |
| 8.11 | – |
ve 14 satır daha
Kaynaklar7 kaynak
- CVE.org kaydı
- NVD kaydı
- vuldb.com/cve/CVE-2026-113505 Üçüncü taraf
- vuldb.com/submit/996818 Üçüncü taraf
- github.com/…ploit/aapanel-cve-2026/tree/master/aapanel-lfi İstismar kodu ya da analiz
- vuldb.com/vuln/422747 Diğer
- vuldb.com/vuln/422747/cti Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.