非影资讯
P非影 English
面向安全从业者的中英双语安全研究与漏洞情报精选。

CVE-2021-45467:CWP CentOS Web Panel - 未认证远程代码执行

pwn.ai | 漏洞 | CVE-2021-45467 | #rce | #pre-auth-rce | #cwp | #cve-2021-45467 | #file-inclusion | #hosting-control-panel

摘要

Octagon Networks 复盘 CWP（CentOS Web Panel）研究：文件包含（CVE-2021-45467）与文件写入（CVE-2021-45466）串联，实现在 20 万级服务器上的未认证 root RCE。
CVE
CVE-2021-45467
发布时间
收录时间

原文 ↗

相关内容

严重 · 漏洞 · pwn.ai
CVE-2025-54322(零日)- 影响约 70,000+ 主机的未认证 root 远程代码执行
pwn.ai 自主发现的首个可远程利用零日 RCE：CVE-2025-54322 可使 Xspeeder SXZOS 边缘设备在未认证下被 root 接管，数万台主机暴露，厂商逾七个月未回应。
漏洞 · pwn.ai
CVE-2022-24990:通过 PHP 对象实例化在 TerraMaster TOS 上实现未认证远程命令执行
Octagon Networks 复盘 TerraMaster TOS 4.2.29 漏洞链：PHP 对象实例化缺陷与签名校验绕过相结合，实现 NAS 设备上未认证的远程 root 命令执行。
漏洞 · portswigger.net
ForgeRock OpenAM 中的未授权 RCE（CVE-2021-35464）
Michael Stepankin 披露 ForgeRock OpenAM 的未授权 RCE（CVE-2021-35464）：Jato 框架反序列化缺陷，jato.pageSession 参数可传入恶意序列化对象，配合自研 ysoserial 利用链执行代码。
漏洞 · bishopfox.com
附赠万能钥匙：检测 SolarWinds ARM CVE-2026-28326
CVE-2026-28326 是 SolarWinds ARM 中的未认证远程代码执行漏洞，TCP 55555 端口上的硬编码共享密钥可直接导致 SYSTEM 级代码执行，请尽快修补。
高危 · 漏洞 · github.com
WordPress 核心未授权路径穿越导致 LFI 与 RCE 的 PoC（CVE-2026-87902）
虽然升级为完整 RCE 依赖 PEAR 等环境条件，但未授权本地文件包含原语存在于 WordPress Core 核心代码中，波及 4.7.0 至 7.1.1 的所有历史版本，属于高风险核心级漏洞。
漏洞 · idnsec.com
[CVE-2026-93485] Comment2XSS：WordPress 核心中的零点击预认证 XSS，可潜在升级为 RCE
CVE-2026-93485 是 WordPress 核心 wpautop() 渲染逻辑中的未认证存储型 XSS：攻击者提交构造评论后，在块主题渲染时页面加载即触发零点击 XSS，并可借管理员会话上传插件升级为 RCE。该漏洞已在 WordPress 7.1.1 修复并回溯支持至 4.7.36 分支。
返回