Aktywnie wykorzystywana w atakach
CWP Control Web Panel OS Command Injection Vulnerability
CWP - Control Web Panel · Figuruje w katalogu CISA KEV od 2025-11-04. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
CVE-2025-48703
KrytyczneCVSS 9.0KEVStreszczenie
CWP (Control Web Panel lub CentOS Web Panel) przed wersją 0.9.8.1205 pozwala nieuwierzytelnionemu atakującemu na zdalne wykonanie kodu poprzez metaznaki powłoki w parametrze t_total w żądaniu changePerm w menedżerze plików. Wymagana jest znajomość prawidłowej nazwy użytkownika innej niż root.
Ocena ryzyka
Atakujący może zdalnie wykonać dowolny kod na serwerze hostingowym, co może prowadzić do pełnego przejęcia serwera i dostępu do danych klientów.
Rekomendacja
Zaktualizuj CWP do wersji 0.9.8.1205 lub nowszej oraz rozważ ograniczenie dostępu do interfejsu menedżera plików.
Inne podatności w Control Web Panel
Zobacz wszystkie- CVE-2026-57517Krytyczne
Control Web Panel przed wersją 0.9.8.1225 zawiera podatność na ślepe wstrzykiwanie SQL, która pozwala nieuwierzytelnionym zdalnym atakującym na wykonanie dowolnych zapytań SQL poprzez przesłanie niesprawdzonego wejścia w parametrze userRes w punkcie końcowym user. Atakujący mogą wykorzystać uzyskane w ten sposób uprawnienia root MySQL do zapisu dowolnych plików za pomocą INTO DUMPFILE, co umożliwia wdrożenie webshella PHP do katalogu logów roundcube dostępnego z poziomu sieci i uzyskanie zdalnego wykonania kodu jako konto cwpsvc.
- CVE-2022-44877KrytyczneAktywnie exploitowane
login/index.php w CWP (Control Web Panel lub CentOS Web Panel) 7 przed 0.9.8.1147 pozwala zdalnym atakującym na wykonanie dowolnych poleceń systemowych poprzez metaznaki powłoki w parametrze login.
Oryginalny opis (angielski, źródło NVD)
CWP (aka Control Web Panel or CentOS Web Panel) before 0.9.8.1205 allows unauthenticated remote code execution via shell metacharacters in the t_total parameter in a filemanager changePerm request. A valid non-root username must be known.