CVE-2026-57517
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 44 — wyżej niż 44% wszystkich znanych CVE
Streszczenie
Control Web Panel przed wersją 0.9.8.1225 zawiera podatność na ślepe wstrzykiwanie SQL, która pozwala nieuwierzytelnionym zdalnym atakującym na wykonanie dowolnych zapytań SQL poprzez przesłanie niesprawdzonego wejścia w parametrze userRes w punkcie końcowym user. Atakujący mogą wykorzystać uzyskane w ten sposób uprawnienia root MySQL do zapisu dowolnych plików za pomocą INTO DUMPFILE, co umożliwia wdrożenie webshella PHP do katalogu logów roundcube dostępnego z poziomu sieci i uzyskanie zdalnego wykonania kodu jako konto cwpsvc.
Ocena ryzyka
Ryzyko dla organizacji obejmuje całkowite przejęcie serwera przez nieuwierzytelnionego atakującego, co może prowadzić do kradzieży danych, instalacji złośliwego oprogramowania lub dalszego ataku na infrastrukturę wewnętrzną.
Rekomendacja
Zaleca się natychmiastową aktualizację Control Web Panel do wersji 0.9.8.1225 lub nowszej oraz ograniczenie dostępu do panelu zarządzania tylko z zaufanych adresów IP.
Oryginalny opis (angielski, źródło NVD)
Control Web Panel before 0.9.8.1225 contains a blind SQL injection vulnerability that allows unauthenticated remote attackers to execute arbitrary SQL queries by submitting unsanitized input through the userRes POST parameter at the user endpoint. Attackers can exploit MySQL root privileges obtained via the injection to write arbitrary files using INTO DUMPFILE, enabling deployment of a PHP webshell to the web-accessible roundcube logs directory and achieving remote code execution as the cwpsvc account.