aaPanel: OS Command Injection im Dateimanager
Zusammenfassung
aaPanel bis einschliesslich 8.25.0 enthält eine OS Command Injection in der Dateimanager-Funktion ExecShell (class/public/common.py). Benutzereingaben für Dateinamen, Archivpasswörter, Zugriffsrechte und Besitzer werden ungeschützt an einen Shell-Befehl übergeben. Ein authentifizierter Benutzer kann so beliebige Betriebssystembefehle ausführen, typischerweise als root auf einem Linux-Server. Ein öffentlicher Proof of Concept existiert.
Betroffen
- aaPanel bis einschliesslich 8.25.0 (Versionsbereich gemäss VulDB)
- Der offizielle CVE-Eintrag nennt die Versionen 8.0 bis 8.11; der Bereich unterscheidet sich zwischen den Quellen.
Behoben in
Unbekannt. Es wurde keine vom Hersteller bestätigte korrigierte Version gefunden.
Umgehung
- Dateimanager deaktivieren oder einschränken, bis eine korrigierte Version installiert ist.
- Zugriff auf das Panel via VPN oder IP-Allowlist einschränken.
- Starke, eindeutige Admin-Passwörter verwenden und MFA aktivieren, sofern verfügbar.
Ausnutzung
- Eine Authentifizierung ist erforderlich (PR:L).
- Ein öffentlicher Proof of Concept ist verfügbar; VulDB markiert den Exploit als öffentlich.
- Nicht als aktiv ausgenutzt gelistet (kein CISA-KEV-Eintrag zum Zeitpunkt der Recherche gefunden).
- Der EPSS-Wert liegt bei etwa 0.02 (niedrig), gemäss Vulnrichment.
Unsere Empfehlung
- Alle aaPanel-Instanzen und deren Versionen inventarisieren.
- Falls das Panel aus dem Internet erreichbar ist, den Zugriff jetzt einschränken.
- Admin-Zugangsdaten rotieren und MFA aktivieren.
- Dateimanager deaktivieren, falls das Unternehmen ihn nicht benötigt.
- Den Herstellerkanal von aaPanel auf eine korrigierte Version überwachen und NVD sowie CISA nach Abschluss des Eintrags erneut prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- VulDB CVE-2026-113506 entry vuldb.com
- Proof of concept repository (JdExploit) github.com
- Vulnrichment record (CVE-2026-113506) vulners.com
- OpenCVE CVE-2026-113506 app.opencve.io
- HOL Guard CVE-2026-113506 hol.org
- OffSeq Radar CVE-2026-113506 radar.offseq.com
- Strix CVE-2026-113506 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 07:35.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.