CVE-2026-73696
Publiée le 2026-11-02 · Dernière modification le 2026-11-02
Les versions de Control Web Panel (CWP) antérieures à 1.12 sont concernées. Ce logiciel est utilisé pour gérer des serveurs web et des environnements d'hébergement. La faille se situe dans le flux d'authentification des utilisateurs, où l'absence d'une commande de sortie permet au serveur de continuer à traiter une requête même après avoir reçu l'instruction de rediriger l'utilisateur.
Un attaquant non authentifié peut contourner entièrement l'écran de connexion pour accéder aux fonctionnalités restreintes du panneau utilisateur. Cela lui donne un contrôle total sur la confidentialité et l'intégrité des données du compte. L'attaque est facile à exécuter via un réseau et ne nécessite aucun privilège spécial ni interaction de la part de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Control Web Panel (CWP) before webpanel_version 1.12 contains an execution after redirect vulnerability in the user panel authentication flow (CWPUserIndex) that allows unauthenticated attackers to bypass authentication by exploiting a missing exit() call after a header('Location: ...') redirect. Attackers can send unauthenticated requests to continue PHP execution past the redirect, reaching user panel functionality that should require authentication.