Platform
go
Component
github.com/donknap/dpanel
Opgelost in
1.9.3
1.9.2
CVE-2025-66292 beschrijft een kwetsbaarheid van het type Arbitrary File Access in DPanel, een applicatie ontwikkeld door donknap. Deze kwetsbaarheid stelt een aanvaller in staat om willekeurige bestanden te verwijderen, wat kan leiden tot dataverlies of systeemcompromittering. De kwetsbaarheid treft versies van DPanel vóór 1.9.2. Een patch is beschikbaar in versie 1.9.2.
De Arbitrary File Access kwetsbaarheid in DPanel maakt het mogelijk voor een aanvaller om bestanden op het systeem te verwijderen zonder authenticatie. Dit kan leiden tot ernstige gevolgen, waaronder het verlies van cruciale configuratiebestanden, applicatiebestanden of zelfs systeembestanden. Een succesvolle exploitatie kan de functionaliteit van de DPanel applicatie volledig uitschakelen en mogelijk toegang tot onderliggende systemen mogelijk maken. De impact is vergelijkbaar met scenario's waarbij een aanvaller ongeautoriseerde toegang krijgt tot gevoelige data of de mogelijkheid heeft om de server te compromitteren.
De kwetsbaarheid is openbaar bekend gemaakt op 2026-01-23. Er is momenteel geen informatie beschikbaar over actieve exploitatiecampagnes of public proof-of-concept code. De kwetsbaarheid is opgenomen in het NVD (National Vulnerability Database) en wordt momenteel geëvalueerd op haar risico niveau.
Organizations running DPanel, particularly those hosting websites or applications with sensitive data, are at risk. Shared hosting environments utilizing DPanel are especially vulnerable, as a compromise of one user's account could potentially impact other users on the same server. Legacy DPanel installations with outdated configurations are also at increased risk.
• go / server: Inspect DPanel logs for suspicious requests to /api/common/attach/delete with unusual parameters. Monitor file system integrity for unexpected deletions.
journalctl -u dpanel | grep '/api/common/attach/delete'• generic web: Monitor access logs for requests to /api/common/attach/delete originating from unusual IP addresses or user agents.
grep '/api/common/attach/delete' /var/log/apache2/access.logdisclosure
Exploit Status
EPSS
0.05% (16% percentiel)
CISA SSVC
CVSS-vector
De primaire mitigatie voor CVE-2025-66292 is het upgraden van DPanel naar versie 1.9.2 of hoger. Indien een directe upgrade niet mogelijk is, kan een tijdelijke workaround bestaan uit het beperken van de toegang tot de /api/common/attach/delete endpoint via een Web Application Firewall (WAF) of proxy. Configureer de WAF om verzoeken naar dit endpoint te blokkeren, tenzij ze afkomstig zijn van vertrouwde bronnen. Het is ook aan te raden om de bestandsrechten op het systeem te controleren en te beperken om de impact van een succesvolle exploitatie te minimaliseren. Na de upgrade, controleer de logbestanden op verdachte activiteiten.
Actualice DPanel a la versión 1.9.2 o superior. Esta versión corrige la vulnerabilidad de eliminación arbitraria de archivos. La actualización se puede realizar descargando la nueva versión desde el repositorio oficial y reemplazando los archivos existentes.
Kwetsbaarheidsanalyses en kritieke waarschuwingen direct in uw inbox.
CVE-2025-66292 is a vulnerability in DPanel allowing attackers to delete arbitrary files. It has a CVSS score of 8.1 (HIGH) and affects versions before 1.9.2.
You are affected if you are running DPanel version 1.9.2 or earlier. Check your DPanel version and upgrade immediately if necessary.
Upgrade DPanel to version 1.9.2 or later. As a temporary workaround, restrict access to the /api/common/attach/delete endpoint using a WAF or proxy.
There is currently no evidence of active exploitation, but the vulnerability's ease of exploitation warrants prompt patching.
Refer to the DPanel official website and GitHub repository for the latest security advisories and patch releases.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.
Upload je go.mod-bestand en we vertellen je direct of je getroffen bent.