CVE-2026-77876
Publiée le 2026-11-02 · Dernière modification le 2026-11-02
Les versions de Control Web Panel (CWP) antérieures à 1.16 sont affectées par une faille dans le module « protected_directory ». Ce logiciel est utilisé pour gérer des serveurs web et des environnements d'hébergement via une interface web. La vulnérabilité survient car le système ne nettoie pas correctement les entrées envoyées via le paramètre « file », permettant ainsi à un utilisateur d'injecter ses propres commandes du système d'exploitation directement dans une fonction côté serveur.
Un attaquant peut utiliser cette faille pour exécuter du code arbitraire sur votre serveur, ce qui pourrait lui donner le contrôle total de vos données, des configurations du système et de la disponibilité des services. Il s'agit d'un exploit à fort impact qui ne nécessite aucune authentification, aucune interaction de l'utilisateur et peut être déclenché à distance via le réseau. Comme l'attaque est simple et ne requiert aucun privilège particulier, elle est très accessible à toute personne pouvant accéder au panneau de contrôle web.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Control Web Panel (CWP) before webpanel_version 1.16 contains an OS command injection vulnerability in the protected_directory user panel module that allows attackers to execute arbitrary commands by submitting unescaped input through the file POST parameter in the acc=deletedp action. Attackers can exploit this flaw, which passes attacker-controlled input directly into a shell_exec call, to achieve code execution in the user panel context.