CVE-2026-77878
Publiée le 2026-11-02 · Dernière modification le 2026-11-02
Les versions de Control Web Panel (CWP) antérieures à 1.30 sont concernées. Ce logiciel est utilisé pour gérer des serveurs web et des environnements d'hébergement via une interface graphique. La faille se situe dans la route API de restauration de la base de données, où le système ne nettoie pas les chemins de fichiers fournis dans une requête avant de les transmettre au shell du système.
Un attaquant peut exécuter des commandes arbitraires du système d'exploitation avec les privilèges root, lui accordant un contrôle total sur la confidentialité, l'intégrité et la disponibilité du serveur. Cela nécessite un accès au réseau local pour atteindre la route API, mais ne requiert ni authentification ni interaction de la part de l'administrateur du serveur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Control Web Panel (CWP) before webpanel_version 1.30 contains an OS command injection vulnerability in the loopback API database restore route /v1/restoredatabase/, where the restoreDBBackup() handler passes an attacker-controlled file path from the POST body into a shell command without proper escaping. An attacker able to reach the route can inject arbitrary OS commands that execute as root.