CVE-2026-41473: CyberPanel: acesso à API sem autenticação pelos endpoints do AI Scanner

Visão geral

O CyberPanel é um painel de controle para hospedagem web. Este registro descreve a ausência de verificações de autenticação nos endpoints da API de worker do AI Scanner, classificada como CWE-306 (Ausência de Autenticação para Função Crítica). Segundo o registro, partes remotas não autenticadas podem enviar requisições que gravam dados no banco de dados.

Impacto

• Gravações não autenticadas em registros do banco de dados, conforme descrito no registro.
• Possível negação de serviço por esgotamento de armazenamento.
• Possível corrupção de registros do histórico de varreduras e poluição de campos do banco com dados maliciosos.
• A pontuação base da NVD é 9.1. O registro indica alcance pela rede, nenhum privilégio exigido, nenhuma interação do usuário e alto impacto na integridade e na disponibilidade.

Produtos e versões afetados

• Produto registrado como Cyberpanel Cyberpanel: listado como anterior à 2.4.4.
• Produto registrado como Usmannasir Cyberpanel: listado como anterior à 2.4.5.
• As duas entradas apresentam limites de versão diferentes. Recomenda-se confirmar o limite exato com o commit do fabricante e com o aviso antes de se basear em apenas uma delas.

Status de exploração

• O registro indica KEV como não listada. Nas fontes consultadas não há exploração confirmada no mundo real.
• Os dados SSVC do registro classificam a exploração como prova de conceito e automatizável como sim, o que representa uma avaliação de possibilidade de exploração, não evidência de ataques.
• A probabilidade EPSS registrada é 0,01052, com percentil de 0,64047.

Correção e mitigação

• Atualize o CyberPanel para uma versão que contenha a correção do fabricante. O registro referencia um commit de correção no repositório upstream e indica a versão 2.4.5 como limite da correção.
• Até a atualização, restrinja o acesso de rede ao painel e aos endpoints do AI Scanner a origens confiáveis.
• Após qualquer suspeita de exposição, revise o banco de dados em busca de registros inesperados no histórico de varreduras e em tabelas relacionadas.

Orientações de detecção

• Revise os logs do servidor web e da aplicação em busca de requisições aos endpoints do AI Scanner vindas de origens inesperadas ou desconhecidas.
• Monitore crescimento incomum das tabelas de histórico de varreduras ou de armazenamento, o que pode indicar esgotamento de armazenamento.
• Compare os registros do histórico com backups confiáveis para identificar entradas corrompidas ou inseridas.

Limitações das informações disponíveis

• O registro não informa a versão exata da correção. O commit e o aviso de terceiros não foram analisados integralmente nesta análise.
• As duas entradas afetadas listam limites de versão diferentes, e o registro não explica a diferença.
• A data do EPSS no registro é posterior à data de publicação, por isso a temporalidade deve ser interpretada com cautela.
• Nenhum detalhe de exploração é fornecido aqui, por decisão deliberada.

Perguntas frequentes

Quais versões do CyberPanel são afetadas?

O registro lista o Cyberpanel Cyberpanel como anterior à 2.4.4 e o Usmannasir Cyberpanel como anterior à 2.4.5. Os limites diferem, então confirme o limite com o commit do fabricante antes de depender de um deles.

Esta vulnerabilidade está sendo explorada ativamente?

O registro indica que a CVE não consta no KEV da CISA e que não há exploração confirmada no mundo real nas fontes consultadas. Os dados SSVC classificam a exploração como prova de conceito, o que descreve apenas a possibilidade de exploração.

Qual é o principal risco?

O registro descreve gravações no banco sem autenticação, que podem levar a esgotamento de armazenamento, negação de serviço, corrupção do histórico de varreduras e poluição de campos do banco.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.