CVE-2026-77880
Publiée le 2026-11-02 · Dernière modification le 2026-11-02
Les versions de Control Web Panel (CWP) antérieures à 1.16 sont concernées. Ce logiciel est utilisé pour gérer des serveurs web et des environnements d'hébergement via une interface graphique. La faille se situe dans la route de changement de mot de passe de l'API de loopback, où le paramètre « user » est transmis directement à une commande shell sans être assaini.
Un attaquant peut exécuter des commandes arbitraires du système d'exploitation avec les privilèges root complets, compromettant ainsi la confidentialité, l'intégrité et la disponibilité de l'ensemble du serveur. Bien que cela nécessite un accès local au système, aucune authentification préalable ni interaction de l'utilisateur n'est requise. Cela en fait un exploit à fort impact pour toute personne capable d'atteindre l'API locale.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Control Web Panel (CWP) before webpanel_version 1.16 contains an OS command injection vulnerability in the loopback API password change route /newpass/, which runs as root. An attacker can inject arbitrary OS commands by manipulating the POST 'user' parameter that is passed unescaped into a shell command, achieving remote code execution with root privileges.