CVE-2026-77879
Publiée le 2026-11-02 · Dernière modification le 2026-11-02
Les versions de Control Web Panel (CWP) antérieures à 1.16 sont concernées. Ce logiciel est utilisé pour gérer des serveurs web et des environnements d'hébergement via une interface graphique. Une faille dans le processus d'authentification de l'API de loopback permet à un attaquant d'insérer des commandes SQL malveillantes dans les paramètres `authorization_code` et `client_id`, que le système exécute ensuite en tant qu'utilisateur root de la base de données.
Un attaquant peut utiliser cette faille pour contourner entièrement l'authentification et lire toutes les données stockées dans la base de données MySQL, compromettant ainsi la confidentialité et l'intégrité des informations. L'exploitation de cette vulnérabilité nécessite un accès au réseau local, mais ne requiert ni mot de passe, ni interaction de l'utilisateur, ni privilèges particuliers. Comme elle cible le compte root de la base de données, l'impact sur les données sous-jacentes est élevé.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Control Web Panel (CWP) before webpanel_version 1.16 contains a SQL injection vulnerability in the loopback API authentication gate access_token(), which connects to MySQL as root and interpolates attacker-controlled values directly into its query. Attackers can inject SQL through the authorization_code and client_id parameters to read arbitrary database contents and forge the authentication result, bypassing the API's authentication check.