近日，cPanel公司已为所有公共更新层发布了新版本。这些更新提供了有针对性的更改，使cPanel和WHM产品安全问题得以有效解决。这些版本目前可通过标准更新系统提供给所有用户。下面将具体进行相关信息介绍：
SEC-646：
在scripts/cleanphpsessions.php 中显式设置错误日志
cPanel已将此漏洞的CVSSv3.1评分为2.3 CVSS3.1/AV:L/AC:H/PR:H/UI:R/S:C/C:N/I:H/A:H
如果/usr/local/cpanel/scripts/cleanphpsessions.php通过系统PHP运行，它会将错误转储到工作目录中的错误日志中。这可能会导致符号链接攻击。将错误日志显式设置为“我们的”PHP使用的相同错误日志。
此问题在11.106.0.3、11.104.0.8以及11.102.0.21中得到解决
SEC-652
修复ModSec工具界面中的Self-XSS漏洞
cPanel已将此漏洞的CVSSv3.1评分为2.6 CVSS3.1/AV:N/AC:H/PR:H/UI:R/S:C/C:N/I:L/A:N
添加所需的转义，以便错误/警告消息正确地将违规内容显示为文本
此问题在11.106.0.3、11.104.0.8以及11.102.0.21中得到解决
SEC-653
通过DNS区域解析防止任意文件读取
cPanel已将此漏洞的CVSSv3.1评分为7.8 CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
解析DNS区域将导致读取任何包含文件内容并将其合并到区域数据中。如果这是由于cPanel用户调用AdminBin所致，则解析操作将以root身份运行，允许非特权帐户读取系统上的任何文件。在加载包含文件内容之前，用户需要检查非root调用用户，如果是，则需要在读取文件之前删除权限
此问题在11.106.0.3、11.104.0.8以及11.102.0.21中得到解决
SEC-654
修复WHM ModSec Vendors界面中的XSS
cPanel已将此漏洞的CVSSv3.1评分为2.6 CVSS3.1/AV:N/AC:H/PR:H/UI:R/S:C/C:N/I:L/A:N
在显示失败之前，用户需要从失败的“保存”操作中转义错误消息
此问题在11.106.0.3、11.104.0.8以及11.102.0.21中得到解决
SEC-655
在子域管理模块中验证域所有权
cPanel已将此漏洞的CVSSv3.1分数评分为5.0 CVSS3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:N/I:N/A:L
当进行AdminBin调用以删除子域时，不会进行初始检查来验证调用者对该域的所有权。删除子域的调用最终会出错，只有出现在为域禁用PHP-FPM之后。在尝试对域执行任何操作之前，让子域管理模块验证域所有权。这对于更改域的文档根的调用也是必需的，并且在创建子域时用户需要验证根域的所有权
此问题在11.106.0.3、11.104.0.8以及11.102.0.21中得到解决
SEC-658
通过推迟创建Dbuser修复MySQL管理员接管
cPanel已将此漏洞的CVSSv3.1评分为7.6 CVSS3.1/AV:N/AC:H/PR:H/UI:R/S:C/C:H/I:H/A:H
创建帐户时，平台会检查建议的帐户名称是否与数据库用户名冲突。但是，当数据库服务被禁用时，平台会跳过此检查。这可以允许在重新启用数据库服务时接管数据库帐户。如果数据库服务被禁用，至少需要检查映射文件的名称冲突
此问题在11.106.0.3、11.104.0.8以及11.102.0.21中得到解决
