CVE-2026-73697
WysokieCVSS 8.8Streszczenie
Control Web Panel (CWP) przed wersją webpanel_version 1.16 zawiera podatność na zapis dowolnych plików i wstrzyknięcie poleceń OS w module panelu użytkownika phpini_editor. Akcja acc=update pozwala zapisywać pliki przez file_put_contents bez ograniczeń ścieżki, a akcja acc=addlabelphpiniadv przekazuje nieoczyszczone dane do shell_exec, umożliwiając wykonanie kodu w kontekście panelu użytkownika.
Ocena ryzyka
Atakujący z dostępem do modułu może zapisywać dowolne pliki i wykonywać polecenia OS, co prowadzi do przejęcia konta użytkownika panelu i potencjalnej eskalacji. Może to naruszyć integralność systemu i poufność danych.
Rekomendacja
Zaktualizuj CWP do wersji 1.16 lub nowszej. Ogranicz dostęp do modułu phpini_editor i przejrzyj pliki pod kątem nieautoryzowanych zmian.
Inne podatności w Control Web Panel
Zobacz wszystkie- CVE-2026-77881Średnie
Control Web Panel (CWP) przed wersją webpanel_version 1.30 zawiera podatność na ślepą iniekcję SQL w nieuwierzytelnionej trasie API loopback, która łączy się z MySQL jako root. Parametr 'user' jest wstawiany bezpośrednio do zapytania przeciw tabeli oauth_clients, co umożliwia czasową ślepą iniekcję SQL i wyodrębnienie dowolnych danych z bazy.
- CVE-2026-77880Wysokie
Control Web Panel (CWP) przed wersją webpanel_version 1.16 zawiera podatność na wstrzyknięcie poleceń systemu operacyjnego w trasie zmiany hasła API loopback /newpass/, działającej jako root. Atakujący może wstrzyknąć dowolne polecenia systemowe poprzez manipulację parametrem POST 'user', przekazywanym bez escapowania do polecenia powłoki.
- CVE-2026-77879Wysokie
Control Web Panel (CWP) przed wersją webpanel_version 1.16 zawiera podatność na wstrzyknięcie SQL w bramie uwierzytelniania API loopback access_token(), która łączy się z MySQL jako root i wstawia wartości kontrolowane przez atakującego bezpośrednio do zapytania. Atakujący mogą wstrzyknąć SQL poprzez parametry authorization_code i client_id.
- CVE-2026-77878Wysokie
Control Web Panel (CWP) przed wersją webpanel_version 1.30 zawiera podatność na wstrzyknięcie poleceń systemu operacyjnego w trasie przywracania bazy danych API loopback /v1/restoredatabase/. Handler restoreDBBackup() przekazuje ścieżkę pliku kontrolowaną przez atakującego z ciała POST do polecenia powłoki bez odpowiedniego escapowania.
- CVE-2026-77877Wysokie
Control Web Panel (CWP) przed wersją webpanel_version 1.30 zawiera podatność polegającą na braku uwierzytelniania, która pozwala atakującym mogącym dotrzeć do usługi API loopback wywoływać trasy API z uprawnieniami roota bez przedstawiania tokenu dostępu. Atakujący mogą uzyskać dostęp do punktów końcowych takich jak /v1/restoredatabase/, /generaluser/, /last_access/, /valid_user/, /valid_token/ i /user_panel_dashboard/.
- CVE-2026-104080Wysokie
Control Web Panel (CWP) przed wersją webpanel_version 1.30 zawiera podatność na wstrzyknięcie poleceń OS w trasie API loopback /valid_token/. Nieuwierzytelniony atakujący może wykonać dowolne polecenia jako root, wstrzykując metaznaki powłoki do niezwalidowanego parametru 'user', który trafia bez escapowania do wywołania shell_exec().
- CVE-2026-73695Wysokie
Control Web Panel (CWP) przed wersją webpanel_version 1.16 zawiera podatność na path traversal w services/users/index.php. Nieoczyszczony parametr nazwy modułu jest doklejany bezpośrednio do ścieżki include, co pozwala na lokalne włączenie dowolnych plików PHP i wykonanie kodu w kontekście panelu użytkownika.
- CVE-2026-57517Krytyczne
Control Web Panel przed wersją 0.9.8.1225 zawiera podatność na ślepe wstrzykiwanie SQL, która pozwala nieuwierzytelnionym zdalnym atakującym na wykonanie dowolnych zapytań SQL poprzez przesłanie niesprawdzonego wejścia w parametrze userRes w punkcie końcowym user. Atakujący mogą wykorzystać uzyskane w ten sposób uprawnienia root MySQL do zapisu dowolnych plików za pomocą INTO DUMPFILE, co umożliwia wdrożenie webshella PHP do katalogu logów roundcube dostępnego z poziomu sieci i uzyskanie zdalnego wykonania kodu jako konto cwpsvc.
- CVE-2025-48703KrytyczneAktywnie exploitowane
CWP (Control Web Panel lub CentOS Web Panel) przed wersją 0.9.8.1205 pozwala nieuwierzytelnionemu atakującemu na zdalne wykonanie kodu poprzez metaznaki powłoki w parametrze t_total w żądaniu changePerm w menedżerze plików. Wymagana jest znajomość prawidłowej nazwy użytkownika innej niż root.
- CVE-2022-44877KrytyczneAktywnie exploitowane
login/index.php w CWP (Control Web Panel lub CentOS Web Panel) 7 przed 0.9.8.1147 pozwala zdalnym atakującym na wykonanie dowolnych poleceń systemowych poprzez metaznaki powłoki w parametrze login.
Oryginalny opis (angielski, źródło NVD)
Control Web Panel (CWP) before webpanel_version 1.16 contains an arbitrary file write and OS command injection vulnerability in the phpini_editor user panel module that allows attackers with access to the module to write attacker-controlled content to arbitrary paths and execute arbitrary OS commands. Attackers can exploit the acc=update action to write files via file_put_contents without path confinement and the acc=addlabelphpiniadv action to pass unsanitized input into shell_exec, achieving code execution in the user panel context.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS