CVE-2017-6513

Błąd weryfikacji użytkownika w Softaculous Virtualizor WHMCS Reseller Module

CVSS 9.9v3.0pub. 2017-03-11upd. 2026-05-13

Moduł WHMCS Reseller Module V2 2.0.2 w Softaculous Virtualizor przed wersją 2.9.1.0 nieprawidłowo weryfikuje tożsamość zalogowanego użytkownika. Podatność umożliwia uwierzytelnionym użytkownikom przejęcie kontroli nad maszynami wirtualnymi należącymi do innych klientów.

▸ Pokaż oryginał (EN)

The WHMCS Reseller Module V2 2.0.2 in Softaculous Virtualizor before 2.9.1.0 does not verify the user correctly, which allows remote authenticated users to control other virtual machines managed by Virtualizor by accessing a modified URL.

🤖 Analiza AI

Jak działa

Podatność wynika z braku poprawnej weryfikacji tożsamości użytkownika w module WHMCS Reseller Module V2 2.0.2. Zalogowany użytkownik może zmodyfikować parametry URL żądania HTTP w taki sposób, aby uzyskać dostęp do zasobów (maszyn wirtualnych) przypisanych do innych kont. System nie sprawdza, czy żądający użytkownik jest rzeczywiście właścicielem wskazanej maszyny wirtualnej, co pozwala na nieuprawnione operacje na zasobach innych klientów.

Skutki

Uwierzytelniony atakujący może uzyskać pełną kontrolę nad maszynami wirtualnymi zarządzanymi przez Virtualizor, należącymi do innych użytkowników, co skutkuje naruszeniem poufności, integralności i dostępności ich zasobów.

Mitygacja

Należy zaktualizować Softaculous Virtualizor do wersji 2.9.1.0 lub nowszej. Szczegółowe informacje o patchu dostępne są w oficjalnym blogu producenta pod adresem wskazanym w referencjach.

Kogo dotyczy

Softaculous Virtualizor przed wersją 2.9.1.0 z zainstalowanym modułem WHMCS Reseller Module V2 w wersji 2.0.2

Uwagi

Proof-of-concept dokumentujący podatność został opublikowany w serwisie GitHub (gist.github.com/sedrubal). Podatność dotyczy środowisk hostingowych z panelem WHMCS, gdzie wielu klientów współdzieli jedną instancję Virtualizor.