Podatności Control Web Panel (CWP)
3 znanych podatności CVE w Control Web Panel (CWP), przetłumaczonych i ocenionych.
- CVE-2025-67888Wysokie
W Control Web Panel (CWP) przed wersją 0.9.8.1209 występuje problem z niewłaściwą sanitizacją danych wejściowych przekazywanych przez parametr GET 'key' w /admin/index.php. Atakujący mogą wykorzystać tę lukę do wstrzykiwania i wykonywania dowolnych poleceń systemowych z uprawnieniami roota na serwerze WWW.
- CVE-2026-77876Krytyczne
Control Web Panel (CWP) w wersji przed webpanel_version 1.16 zawiera podatność na wstrzyknięcie polecenia systemowego w module panelu użytkownika protected_directory. Nieescapowany parametr POST pliku w akcji acc=deletedp jest przekazywany bezpośrednio do wywołania shell_exec, co pozwala atakującemu na wykonanie dowolnych poleceń w kontekście panelu użytkownika.
- CVE-2026-73696Krytyczne
Control Web Panel (CWP) w wersji przed webpanel_version 1.12 zawiera podatność typu execution after redirect w przepływie uwierzytelniania panelu użytkownika (CWPUserIndex). Brak wywołania exit() po przekierowaniu header('Location: ...') pozwala nieuwierzytelnionym atakującym kontynuować wykonanie PHP po przekierowaniu i dotrzeć do funkcji panelu użytkownika wymagających uwierzytelnienia.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS