Descripción
Se identificó una vulnerabilidad en aaPanel hasta la versión 8.25.0. El elemento afectado es la función ExecShell del archivo class/public/common.py del componente File Manager. La manipulación del argumento sfile/dfile/access/user provoca una inyección de comandos del sistema operativo. El ataque puede realizarse de forma remota. El exploit se divulgó públicamente y podría utilizarse. El fabricante confirma: "Las vulnerabilidades RCE y LFI reportadas requieren autenticación."
Qué hacer
Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.
Versiones afectadas
- aaPanel Afectadas: 8.0 · 8.1 · 8.2 · 8.3 · 8.4 · 8.5 · 8.6 · 8.7 · 8.8 · 8.9
Según el registro de la vulnerabilidad en CVE.org, tal como lo publicó el fabricante. Confirma tu versión exacta en el aviso del fabricante.
Referencias
- Referencia en vuldb.comvuldb.com/vuln/422748
- Referencia en vuldb.comvuldb.com/vuln/422748/cti
- Aviso de vuldb.comvuldb.com/cve/CVE-2026-113506
- Aviso de vuldb.comvuldb.com/submit/996819
- Exploit publicadogithub.com/JdExploit/aapanel-cve-2026/tree/master/aapanel-rce
Ver el texto original en inglés (CVE.org)
aaPanel File Manager common.py ExecShell os command injection
A vulnerability has been found in aaPanel up to 8.25.0. The affected element is the function ExecShell of the file class/public/common.py of the component File Manager. The manipulation of the argument sfile/dfile/access/user leads to os command injection. The attack is possible to be carried out remotely. The exploit has been disclosed to the public and may be used. The vendor confirms: "The reported RCE and LFI vulnerabilities require authentication."