CVE-2026-73695
Publiée le 2026-11-02 · Dernière modification le 2026-11-02
Les versions de Control Web Panel (CWP) antérieures à la version 1.16 sont concernées. CWP est une interface de gestion utilisée pour administrer des serveurs web et des environnements d'hébergement. La faille se situe dans le fichier `services/users/index.php`, où le logiciel ne nettoie pas correctement un paramètre de nom de module avant de l'utiliser pour inclure un fichier.
Un attaquant disposant d'un compte utilisateur valide peut utiliser des séquences de traversée de répertoire (directory traversal) pour inclure des fichiers PHP locaux arbitraires. Cela lui permet d'exécuter du code non autorisé sur le serveur, compromettant potentiellement la confidentialité, l'intégrité et la disponibilité du système. L'attaque est réalisée via le réseau et ne nécessite aucune interaction de l'utilisateur, bien qu'elle requière une authentification de bas niveau.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Control Web Panel (CWP) before webpanel_version 1.16 contains a path traversal vulnerability in services/users/index.php that allows attackers to include arbitrary local PHP files by supplying an unsanitized module name parameter concatenated directly into an include path. Attackers can inject directory traversal sequences into the module name to achieve local file inclusion and execute arbitrary PHP code in the user panel context.