CVE-2026-73696
KrytyczneCVSS 9.1Streszczenie
Control Web Panel (CWP) w wersji przed webpanel_version 1.12 zawiera podatność typu execution after redirect w przepływie uwierzytelniania panelu użytkownika (CWPUserIndex). Brak wywołania exit() po przekierowaniu header('Location: ...') pozwala nieuwierzytelnionym atakującym kontynuować wykonanie PHP po przekierowaniu i dotrzeć do funkcji panelu użytkownika wymagających uwierzytelnienia.
Ocena ryzyka
Nieuwierzytelniony atakujący może ominąć mechanizm logowania i uzyskać dostęp do funkcji panelu użytkownika, co może prowadzić do nieautoryzowanych działań w systemie. Stanowi to poważne naruszenie kontroli dostępu.
Rekomendacja
Zaktualizuj Control Web Panel do wersji 1.12 lub nowszej. Do czasu aktualizacji rozważ ograniczenie dostępu do panelu użytkownika z niezaufanych sieci i monitoruj nietypowe żądania do CWPUserIndex.
Inne podatności w Control Web Panel (CWP)
Zobacz wszystkie- CVE-2025-67888Wysokie
W Control Web Panel (CWP) przed wersją 0.9.8.1209 występuje problem z niewłaściwą sanitizacją danych wejściowych przekazywanych przez parametr GET 'key' w /admin/index.php. Atakujący mogą wykorzystać tę lukę do wstrzykiwania i wykonywania dowolnych poleceń systemowych z uprawnieniami roota na serwerze WWW.
- CVE-2026-77876Krytyczne
Control Web Panel (CWP) w wersji przed webpanel_version 1.16 zawiera podatność na wstrzyknięcie polecenia systemowego w module panelu użytkownika protected_directory. Nieescapowany parametr POST pliku w akcji acc=deletedp jest przekazywany bezpośrednio do wywołania shell_exec, co pozwala atakującemu na wykonanie dowolnych poleceń w kontekście panelu użytkownika.
Oryginalny opis (angielski, źródło NVD)
Control Web Panel (CWP) before webpanel_version 1.12 contains an execution after redirect vulnerability in the user panel authentication flow (CWPUserIndex) that allows unauthenticated attackers to bypass authentication by exploiting a missing exit() call after a header('Location: ...') redirect. Attackers can send unauthenticated requests to continue PHP execution past the redirect, reaching user panel functionality that should require authentication.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS