CVE-2026-73697
Publiée le 2026-11-02 · Dernière modification le 2026-11-02
Les versions de Control Web Panel (CWP) antérieures à 1.16 sont concernées. Ce logiciel est utilisé pour gérer des serveurs web et des environnements d'hébergement via une interface graphique. Une faille dans le module `phpini_editor` permet aux utilisateurs de contourner les restrictions de chemin pour écrire des fichiers n'importe où sur le système et de transmettre des entrées non assainies directement aux shells du système.
Un attaquant disposant d'identifiants utilisateur valides peut utiliser ces failles pour exécuter des commandes OS arbitraires et écraser des fichiers système critiques. Cela lui donne un contrôle total sur la confidentialité, l'intégrité et la disponibilité du serveur affecté. L'exploitation peut être déclenchée via le réseau sans aucune interaction supplémentaire de l'utilisateur, à condition que l'attaquant possède un compte authentifié.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Control Web Panel (CWP) before webpanel_version 1.16 contains an arbitrary file write and OS command injection vulnerability in the phpini_editor user panel module that allows attackers with access to the module to write attacker-controlled content to arbitrary paths and execute arbitrary OS commands. Attackers can exploit the acc=update action to write files via file_put_contents without path confinement and the acc=addlabelphpiniadv action to pass unsanitized input into shell_exec, achieving code execution in the user panel context.