Aktywnie wykorzystywana w atakach
CWP Control Web Panel OS Command Injection Vulnerability
CWP - Control Web Panel · Figuruje w katalogu CISA KEV od 2023-01-17. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply updates per vendor instructions.
CVE-2022-44877
KrytyczneCVSS 9.8KEVStreszczenie
login/index.php w CWP (Control Web Panel lub CentOS Web Panel) 7 przed 0.9.8.1147 pozwala zdalnym atakującym na wykonanie dowolnych poleceń systemowych poprzez metaznaki powłoki w parametrze login.
Ocena ryzyka
Atakujący może zdalnie wykonać dowolne polecenia systemowe na serwerze, co prowadzi do pełnego przejęcia kontroli nad systemem.
Rekomendacja
Zaktualizuj CWP do wersji 0.9.8.1147 lub nowszej, która naprawia podatność.
Inne podatności w Control Web Panel
Zobacz wszystkie- CVE-2026-57517Krytyczne
Control Web Panel przed wersją 0.9.8.1225 zawiera podatność na ślepe wstrzykiwanie SQL, która pozwala nieuwierzytelnionym zdalnym atakującym na wykonanie dowolnych zapytań SQL poprzez przesłanie niesprawdzonego wejścia w parametrze userRes w punkcie końcowym user. Atakujący mogą wykorzystać uzyskane w ten sposób uprawnienia root MySQL do zapisu dowolnych plików za pomocą INTO DUMPFILE, co umożliwia wdrożenie webshella PHP do katalogu logów roundcube dostępnego z poziomu sieci i uzyskanie zdalnego wykonania kodu jako konto cwpsvc.
- CVE-2025-48703KrytyczneAktywnie exploitowane
CWP (Control Web Panel lub CentOS Web Panel) przed wersją 0.9.8.1205 pozwala nieuwierzytelnionemu atakującemu na zdalne wykonanie kodu poprzez metaznaki powłoki w parametrze t_total w żądaniu changePerm w menedżerze plików. Wymagana jest znajomość prawidłowej nazwy użytkownika innej niż root.
Oryginalny opis (angielski, źródło NVD)
login/index.php in CWP (aka Control Web Panel or CentOS Web Panel) 7 before 0.9.8.1147 allows remote attackers to execute arbitrary OS commands via shell metacharacters in the login parameter.