CVE-2026-77881
Publiée le 2026-11-02 · Dernière modification le 2026-11-02
Les versions de Control Web Panel (CWP) antérieures à 1.30 sont concernées. Ce logiciel est utilisé pour gérer des serveurs web et des environnements d'hébergement. Une faille dans une route d'API interne non authentifiée permet à un utilisateur d'injecter des commandes SQL malveillantes dans le paramètre « user », lesquelles sont ensuite exécutées par la base de données avec les privilèges de l'utilisateur root.
Un attaquant peut utiliser des requêtes basées sur le temps pour extraire lentement des données sensibles de la base de données, compromettant ainsi la confidentialité du système. La vulnérabilité étant située sur une route de bouclage (loopback), l'attaquant doit disposer d'un accès au réseau local du serveur pour déclencher la faille. Aucune authentification ni interaction de l'utilisateur n'est requise pour exploiter cette vulnérabilité.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Control Web Panel (CWP) before webpanel_version 1.30 contains a blind SQL injection vulnerability in an unauthenticated loopback API route that connects to MySQL as root, where the 'user' parameter is interpolated directly into a query against the oauth_clients table. Attackers can send crafted requests to the unauthenticated route (originally /user_panel_dashboard/, later /valid_token/) to perform time-based blind SQL injection and extract arbitrary database contents.