CVE-2026-77876
KrytyczneCVSS 9.8Streszczenie
Control Web Panel (CWP) w wersji przed webpanel_version 1.16 zawiera podatność na wstrzyknięcie polecenia systemowego w module panelu użytkownika protected_directory. Nieescapowany parametr POST pliku w akcji acc=deletedp jest przekazywany bezpośrednio do wywołania shell_exec, co pozwala atakującemu na wykonanie dowolnych poleceń w kontekście panelu użytkownika.
Ocena ryzyka
Atakujący może wykonać dowolne polecenia systemowe z uprawnieniami procesu panelu, co może prowadzić do przejęcia serwera lub kradzieży danych. Wymaga to jedynie dostępu do modułu protected_directory panelu użytkownika.
Rekomendacja
Zaktualizuj Control Web Panel do wersji 1.16 lub nowszej. Do czasu aktualizacji ogranicz dostęp do modułu protected_directory i sprawdź logi pod kątem podejrzanych żądań do akcji acc=deletedp.
Inne podatności w Control Web Panel (CWP)
Zobacz wszystkie- CVE-2025-67888Wysokie
W Control Web Panel (CWP) przed wersją 0.9.8.1209 występuje problem z niewłaściwą sanitizacją danych wejściowych przekazywanych przez parametr GET 'key' w /admin/index.php. Atakujący mogą wykorzystać tę lukę do wstrzykiwania i wykonywania dowolnych poleceń systemowych z uprawnieniami roota na serwerze WWW.
- CVE-2026-73696Krytyczne
Control Web Panel (CWP) w wersji przed webpanel_version 1.12 zawiera podatność typu execution after redirect w przepływie uwierzytelniania panelu użytkownika (CWPUserIndex). Brak wywołania exit() po przekierowaniu header('Location: ...') pozwala nieuwierzytelnionym atakującym kontynuować wykonanie PHP po przekierowaniu i dotrzeć do funkcji panelu użytkownika wymagających uwierzytelnienia.
Oryginalny opis (angielski, źródło NVD)
Control Web Panel (CWP) before webpanel_version 1.16 contains an OS command injection vulnerability in the protected_directory user panel module that allows attackers to execute arbitrary commands by submitting unescaped input through the file POST parameter in the acc=deletedp action. Attackers can exploit this flaw, which passes attacker-controlled input directly into a shell_exec call, to achieve code execution in the user panel context.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS