CVE-2025-67888
WysokieStreszczenie
W Control Web Panel (CWP) przed wersją 0.9.8.1209 występuje problem z niewłaściwą sanitizacją danych wejściowych przekazywanych przez parametr GET 'key' w /admin/index.php. Atakujący mogą wykorzystać tę lukę do wstrzykiwania i wykonywania dowolnych poleceń systemowych z uprawnieniami roota na serwerze WWW.
Ocena ryzyka
Niewłaściwa sanitizacja danych wejściowych stwarza poważne ryzyko dla bezpieczeństwa, umożliwiając nieautoryzowanym atakującym przejęcie kontroli nad serwerem. Może to prowadzić do poważnych konsekwencji, w tym utraty danych i naruszenia integralności systemu.
Rekomendacja
Zaleca się aktualizację Control Web Panel do najnowszej wersji, aby usunąć tę lukę. Dodatkowo, warto wdrożyć mechanizmy zabezpieczające, takie jak filtrowanie danych wejściowych i monitorowanie aktywności na serwerze.
Inne podatności w Control Web Panel (CWP)
Zobacz wszystkie- CVE-2026-77876Krytyczne
Control Web Panel (CWP) w wersji przed webpanel_version 1.16 zawiera podatność na wstrzyknięcie polecenia systemowego w module panelu użytkownika protected_directory. Nieescapowany parametr POST pliku w akcji acc=deletedp jest przekazywany bezpośrednio do wywołania shell_exec, co pozwala atakującemu na wykonanie dowolnych poleceń w kontekście panelu użytkownika.
- CVE-2026-73696Krytyczne
Control Web Panel (CWP) w wersji przed webpanel_version 1.12 zawiera podatność typu execution after redirect w przepływie uwierzytelniania panelu użytkownika (CWPUserIndex). Brak wywołania exit() po przekierowaniu header('Location: ...') pozwala nieuwierzytelnionym atakującym kontynuować wykonanie PHP po przekierowaniu i dotrzeć do funkcji panelu użytkownika wymagających uwierzytelnienia.
Oryginalny opis (angielski, źródło NVD)
An issue was discovered in Control Web Panel (CWP) before 0.9.8.1209. User input passed via the "key" GET parameter to /admin/index.php (when the "api" parameter is set) is not properly sanitized before being used to execute OS commands. This can be exploited by unauthenticated attackers to inject and execute arbitrary OS commands with the privileges of root on the web server. Softaculous or SitePad must be present.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS