CVE-2026-77877

Les versions de Control Web Panel (CWP) antérieures à la version 1.30 sont concernées. Ce logiciel est utilisé pour gérer les serveurs d'hébergement web et leurs configurations associées. La faille provient du fait que le service API de boucle locale (loopback) n'exige pas de jetons d'authentification pour certaines requêtes disposant de privilèges root.

Un attaquant disposant d'un accès local au serveur peut appeler des routes API sensibles pour effectuer des actions administratives non autorisées, compromettant potentiellement la confidentialité, l'intégrité et la disponibilité du système. Comme l'attaque nécessite un accès local pour atteindre l'interface de boucle locale, elle ne peut pas être exécutée à distance via le réseau. Aucun privilège spécial ni interaction de l'utilisateur n'est requis une fois l'accès local obtenu.