CVE-2026-104080
Publiée le 2026-11-02 · Dernière modification le 2026-11-02
Les versions de Control Web Panel (CWP) antérieures à 1.30 sont concernées. Ce logiciel est utilisé pour gérer des serveurs web et des environnements d'hébergement via une interface graphique. La faille se situe dans la route API `/valid_token/`, où le système ne nettoie pas le paramètre « user » avant de le transmettre à une commande système, permettant ainsi l'injection de métacaractères de shell directement dans le système d'exploitation du serveur.
Un attaquant peut exécuter des commandes arbitraires avec des privilèges root, entraînant une perte totale de confidentialité, d'intégrité et de disponibilité pour l'ensemble du serveur. Cette attaque nécessite un accès au réseau local, mais ne requiert aucune authentification ni interaction de l'utilisateur. Comme elle permet une prise de contrôle complète et immédiate du système, l'impact est sévère.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Control Web Panel (CWP) before webpanel_version 1.30 contains an OS command injection vulnerability in the loopback API /valid_token/ route that allows unauthenticated attackers to execute arbitrary commands as root by injecting shell metacharacters into the unvalidated 'user' parameter. Attackers can send a crafted request to the /valid_token/ route, which passes the parameter unescaped into a shell_exec() call.