Vulnerabilidad en panel de Ctrlpanel-gg (CVE-2026-34358)

CtrlPanel es un software de facturación de código abierto para proveedores de alojamiento. Versiones 1.1.1 y anteriores contienen una vulnerabilidad de control de acceso roto donde múltiples controladores de administración aplican verificaciones de permisos en métodos de visualización de formularios, pero omiten verificaciones equivalentes en los métodos de escritura correspondientes, permitiendo a cualquier usuario autenticado eludir RBAC a través de solicitudes POST/PATCH directas. Los controladores que carecen de verificaciones en los métodos de escritura store() y update() incluyen ApplicationApiController (admin.api.write), CouponController (admin.coupons.write), PartnerController (admin.partners.write), ShopProductController (admin.store.write), UsefulLinkController (admin.useful_links.write) y VoucherController (admin.voucher.write); ProductController (admin.products.edit), ServerController (write/change_owner/change_identifier) y UserController (write/change_email/change_credits/change_username/change_password/change_role/change_referral/change_ptero/change_serverlimit) carecen de verificaciones solo en update(), y ActivityLogController expuso métodos stub vacíos store()/update() que aceptaban silenciosamente cualquier solicitud. Un atacante autenticado sin privilegios de escritura de administrador puede emitir credenciales de API, generar cupones y vales ilimitados, asignar comisiones de socio y tasas de descuento arbitrarias, alterar precios y límites de productos de la tienda, reasignar la propiedad o identificadores del servidor, y modificar cuentas de usuario incluyendo roles, créditos, contraseñas e IDs de Pterodactyl vinculados para lograr una escalada de privilegios completa, así como abusar de logBackIn() sin el permiso login_as para interferir con sesiones de suplantación de administrador. Este problema ha sido solucionado en la versión 1.2.0.