CVE-2026-57517
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 61 - wyżej niż 61% wszystkich znanych CVE
Streszczenie
Control Web Panel przed wersją 0.9.8.1225 zawiera podatność na ślepe wstrzykiwanie SQL, która pozwala nieuwierzytelnionym zdalnym atakującym na wykonanie dowolnych zapytań SQL poprzez przesłanie niesprawdzonego wejścia w parametrze userRes w punkcie końcowym user. Atakujący mogą wykorzystać uzyskane w ten sposób uprawnienia root MySQL do zapisu dowolnych plików za pomocą INTO DUMPFILE, co umożliwia wdrożenie webshella PHP do katalogu logów roundcube dostępnego z poziomu sieci i uzyskanie zdalnego wykonania kodu jako konto cwpsvc.
Ocena ryzyka
Ryzyko dla organizacji obejmuje całkowite przejęcie serwera przez nieuwierzytelnionego atakującego, co może prowadzić do kradzieży danych, instalacji złośliwego oprogramowania lub dalszego ataku na infrastrukturę wewnętrzną.
Rekomendacja
Zaleca się natychmiastową aktualizację Control Web Panel do wersji 0.9.8.1225 lub nowszej oraz ograniczenie dostępu do panelu zarządzania tylko z zaufanych adresów IP.
Inne podatności w Control Web Panel
Zobacz wszystkie- CVE-2026-77881Średnie
Control Web Panel (CWP) przed wersją webpanel_version 1.30 zawiera podatność na ślepą iniekcję SQL w nieuwierzytelnionej trasie API loopback, która łączy się z MySQL jako root. Parametr 'user' jest wstawiany bezpośrednio do zapytania przeciw tabeli oauth_clients, co umożliwia czasową ślepą iniekcję SQL i wyodrębnienie dowolnych danych z bazy.
- CVE-2026-77880Wysokie
Control Web Panel (CWP) przed wersją webpanel_version 1.16 zawiera podatność na wstrzyknięcie poleceń systemu operacyjnego w trasie zmiany hasła API loopback /newpass/, działającej jako root. Atakujący może wstrzyknąć dowolne polecenia systemowe poprzez manipulację parametrem POST 'user', przekazywanym bez escapowania do polecenia powłoki.
- CVE-2026-77879Wysokie
Control Web Panel (CWP) przed wersją webpanel_version 1.16 zawiera podatność na wstrzyknięcie SQL w bramie uwierzytelniania API loopback access_token(), która łączy się z MySQL jako root i wstawia wartości kontrolowane przez atakującego bezpośrednio do zapytania. Atakujący mogą wstrzyknąć SQL poprzez parametry authorization_code i client_id.
- CVE-2026-77878Wysokie
Control Web Panel (CWP) przed wersją webpanel_version 1.30 zawiera podatność na wstrzyknięcie poleceń systemu operacyjnego w trasie przywracania bazy danych API loopback /v1/restoredatabase/. Handler restoreDBBackup() przekazuje ścieżkę pliku kontrolowaną przez atakującego z ciała POST do polecenia powłoki bez odpowiedniego escapowania.
- CVE-2026-77877Wysokie
Control Web Panel (CWP) przed wersją webpanel_version 1.30 zawiera podatność polegającą na braku uwierzytelniania, która pozwala atakującym mogącym dotrzeć do usługi API loopback wywoływać trasy API z uprawnieniami roota bez przedstawiania tokenu dostępu. Atakujący mogą uzyskać dostęp do punktów końcowych takich jak /v1/restoredatabase/, /generaluser/, /last_access/, /valid_user/, /valid_token/ i /user_panel_dashboard/.
- CVE-2026-104080Wysokie
Control Web Panel (CWP) przed wersją webpanel_version 1.30 zawiera podatność na wstrzyknięcie poleceń OS w trasie API loopback /valid_token/. Nieuwierzytelniony atakujący może wykonać dowolne polecenia jako root, wstrzykując metaznaki powłoki do niezwalidowanego parametru 'user', który trafia bez escapowania do wywołania shell_exec().
- CVE-2026-73697Wysokie
Control Web Panel (CWP) przed wersją webpanel_version 1.16 zawiera podatność na zapis dowolnych plików i wstrzyknięcie poleceń OS w module panelu użytkownika phpini_editor. Akcja acc=update pozwala zapisywać pliki przez file_put_contents bez ograniczeń ścieżki, a akcja acc=addlabelphpiniadv przekazuje nieoczyszczone dane do shell_exec, umożliwiając wykonanie kodu w kontekście panelu użytkownika.
- CVE-2026-73695Wysokie
Control Web Panel (CWP) przed wersją webpanel_version 1.16 zawiera podatność na path traversal w services/users/index.php. Nieoczyszczony parametr nazwy modułu jest doklejany bezpośrednio do ścieżki include, co pozwala na lokalne włączenie dowolnych plików PHP i wykonanie kodu w kontekście panelu użytkownika.
- CVE-2025-48703KrytyczneAktywnie exploitowane
CWP (Control Web Panel lub CentOS Web Panel) przed wersją 0.9.8.1205 pozwala nieuwierzytelnionemu atakującemu na zdalne wykonanie kodu poprzez metaznaki powłoki w parametrze t_total w żądaniu changePerm w menedżerze plików. Wymagana jest znajomość prawidłowej nazwy użytkownika innej niż root.
- CVE-2022-44877KrytyczneAktywnie exploitowane
login/index.php w CWP (Control Web Panel lub CentOS Web Panel) 7 przed 0.9.8.1147 pozwala zdalnym atakującym na wykonanie dowolnych poleceń systemowych poprzez metaznaki powłoki w parametrze login.
Oryginalny opis (angielski, źródło NVD)
Control Web Panel before 0.9.8.1225 contains a blind SQL injection vulnerability that allows unauthenticated remote attackers to execute arbitrary SQL queries by submitting unsanitized input through the userRes POST parameter at the user endpoint. Attackers can exploit MySQL root privileges obtained via the injection to write arbitrary files using INTO DUMPFILE, enabling deployment of a PHP webshell to the web-accessible roundcube logs directory and achieving remote code execution as the cwpsvc account.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS