CVE-2026-104080

Control Web Panel (CWP) przed wersją webpanel_version 1.30 zawiera podatność na ślepą iniekcję SQL w nieuwierzytelnionej trasie API loopback, która łączy się z MySQL jako root. Parametr 'user' jest wstawiany bezpośrednio do zapytania przeciw tabeli oauth_clients, co umożliwia czasową ślepą iniekcję SQL i wyodrębnienie dowolnych danych z bazy.

Control Web Panel (CWP) przed wersją webpanel_version 1.16 zawiera podatność na wstrzyknięcie poleceń systemu operacyjnego w trasie zmiany hasła API loopback /newpass/, działającej jako root. Atakujący może wstrzyknąć dowolne polecenia systemowe poprzez manipulację parametrem POST 'user', przekazywanym bez escapowania do polecenia powłoki.

Control Web Panel (CWP) przed wersją webpanel_version 1.16 zawiera podatność na wstrzyknięcie SQL w bramie uwierzytelniania API loopback access_token(), która łączy się z MySQL jako root i wstawia wartości kontrolowane przez atakującego bezpośrednio do zapytania. Atakujący mogą wstrzyknąć SQL poprzez parametry authorization_code i client_id.

Control Web Panel (CWP) przed wersją webpanel_version 1.30 zawiera podatność na wstrzyknięcie poleceń systemu operacyjnego w trasie przywracania bazy danych API loopback /v1/restoredatabase/. Handler restoreDBBackup() przekazuje ścieżkę pliku kontrolowaną przez atakującego z ciała POST do polecenia powłoki bez odpowiedniego escapowania.

Control Web Panel (CWP) przed wersją webpanel_version 1.30 zawiera podatność polegającą na braku uwierzytelniania, która pozwala atakującym mogącym dotrzeć do usługi API loopback wywoływać trasy API z uprawnieniami roota bez przedstawiania tokenu dostępu. Atakujący mogą uzyskać dostęp do punktów końcowych takich jak /v1/restoredatabase/, /generaluser/, /last_access/, /valid_user/, /valid_token/ i /user_panel_dashboard/.

Control Web Panel (CWP) przed wersją webpanel_version 1.16 zawiera podatność na zapis dowolnych plików i wstrzyknięcie poleceń OS w module panelu użytkownika phpini_editor. Akcja acc=update pozwala zapisywać pliki przez file_put_contents bez ograniczeń ścieżki, a akcja acc=addlabelphpiniadv przekazuje nieoczyszczone dane do shell_exec, umożliwiając wykonanie kodu w kontekście panelu użytkownika.

Control Web Panel (CWP) przed wersją webpanel_version 1.16 zawiera podatność na path traversal w services/users/index.php. Nieoczyszczony parametr nazwy modułu jest doklejany bezpośrednio do ścieżki include, co pozwala na lokalne włączenie dowolnych plików PHP i wykonanie kodu w kontekście panelu użytkownika.

Control Web Panel przed wersją 0.9.8.1225 zawiera podatność na ślepe wstrzykiwanie SQL, która pozwala nieuwierzytelnionym zdalnym atakującym na wykonanie dowolnych zapytań SQL poprzez przesłanie niesprawdzonego wejścia w parametrze userRes w punkcie końcowym user. Atakujący mogą wykorzystać uzyskane w ten sposób uprawnienia root MySQL do zapisu dowolnych plików za pomocą INTO DUMPFILE, co umożliwia wdrożenie webshella PHP do katalogu logów roundcube dostępnego z poziomu sieci i uzyskanie zdalnego wykonania kodu jako konto cwpsvc.