Podatności Control Web Panel
3 znanych podatności CVE w Control Web Panel, przetłumaczonych i ocenionych.
- CVE-2026-57517Krytyczne
Control Web Panel przed wersją 0.9.8.1225 zawiera podatność na ślepe wstrzykiwanie SQL, która pozwala nieuwierzytelnionym zdalnym atakującym na wykonanie dowolnych zapytań SQL poprzez przesłanie niesprawdzonego wejścia w parametrze userRes w punkcie końcowym user. Atakujący mogą wykorzystać uzyskane w ten sposób uprawnienia root MySQL do zapisu dowolnych plików za pomocą INTO DUMPFILE, co umożliwia wdrożenie webshella PHP do katalogu logów roundcube dostępnego z poziomu sieci i uzyskanie zdalnego wykonania kodu jako konto cwpsvc.
- CVE-2025-48703KrytyczneAktywnie exploitowane
CWP (Control Web Panel lub CentOS Web Panel) przed wersją 0.9.8.1205 pozwala nieuwierzytelnionemu atakującemu na zdalne wykonanie kodu poprzez metaznaki powłoki w parametrze t_total w żądaniu changePerm w menedżerze plików. Wymagana jest znajomość prawidłowej nazwy użytkownika innej niż root.
- CVE-2022-44877KrytyczneAktywnie exploitowane
login/index.php w CWP (Control Web Panel lub CentOS Web Panel) 7 przed 0.9.8.1147 pozwala zdalnym atakującym na wykonanie dowolnych poleceń systemowych poprzez metaznaki powłoki w parametrze login.