Control Web Panel, Apache Fineract, ape-volo-admin, madong-admin-saas : quatre CVE critiques dans des plateformes auto-hébergées

Entre le 30 octobre et le 2 novembre 2026, NVD a publié quatre CVE critiques dans des plateformes que l'on installe et administre soi-même : le panneau d'hébergement Control Web Panel (CWP), la plateforme bancaire open source Apache Fineract, et deux socles d'applications d'administration, ape-volo-admin et madong-admin-saas.

Quatre produits sans rapport, mais toujours la même conséquence : un attaquant prend la main sur l'application — par une commande shell, une requête SQL, un jeton administrateur forgé ou une API restée ouverte.

Seule la CVE Fineract est analysée par NVD (statut Analyzed). Les trois autres viennent de VulnCheck (CNA) et sont au statut Deferred : NVD ne prévoit pas de les analyser. Aucune n'est au CISA KEV à la date de rédaction.

Control Web Panel — CVE-2026-77876

CWP (anciennement CentOS Web Panel) est un panneau d'hébergement gratuit très répandu sur les serveurs dédiés et VPS. Le module protected_directory du panneau utilisateur passe le paramètre POST file de l'action acc=deletedp tel quel à un appel shell_exec : exécution de commandes arbitraires dans le contexte du panneau utilisateur.

Le vecteur indique PR:N, alors que la faille se trouve dans le panneau utilisateur : la description ne précise pas si une session d'utilisateur hébergé est nécessaire. Sur un serveur mutualisé, même dans ce cas, n'importe quel client du serveur devient un point d'entrée.

Action : passer CWP en webpanel_version 1.16 ou ultérieure (journal des modifications de CWP en référence) et ne pas exposer les ports du panneau à Internet.

Apache Fineract — CVE-2026-64618

Fineract est le cœur bancaire open source de la fondation Apache, utilisé pour la microfinance et les services financiers. Le paramètre outStandingAmountPercentageCondition de l'endpoint /fineract-provider/api/v1/search/advance est vulnérable à une injection SQL.

La configuration CPE de NVD fixe la borne à « inférieure à 1.16.0 », alors que l'avis Apache recommande 1.16.1 : vise 1.16.1. Pour une base qui contient des comptes et des prêts, l'injection SQL vaut lecture et modification des données financières.

Action : mettre à jour en 1.16.1 et, en attendant, filtrer /search/advance au reverse proxy.

ape-volo-admin — CVE-2026-120442

Socle d'administration .NET open source. La clé de signature JWT est en dur dans appsettings.json, identique pour toutes les installations qui ne l'ont pas changée. Un attaquant signe hors ligne un jeton avec la revendication jti égale à l'identifiant de l'administrateur créé à l'installation, et obtient un contrôle complet de l'API : utilisateurs, rôles, permissions, données.

Action : passer en 3.6.1 et, surtout, remplacer la clé de signature par une valeur aléatoire propre à l'instance : tant que la clé publique du dépôt reste en place, la mise à jour ne suffit pas forcément.

madong-admin-saas — CVE-2026-120446

Socle PHP d'application SaaS multi-tenant. La clé de middleware platformapi ne correspond jamais à l'application platform : l'authentification ne s'applique pas à l'API de gestion des tenants. Sans compte, on peut appeler /platformapi/tenant/account, bind-plan et sync-data pour lister, créer, modifier, désactiver ou supprimer des tenants et leur associer des offres.

NVD ne nomme pas de version corrigée ; un commit du projet est cité en référence.

Action : appliquer le commit de correction ou bloquer /platformapi/ au reverse proxy pour toute source non administrative.

Détection

• CWP : requêtes vers le module protected_directory avec acc=deletedp et un paramètre file contenant ;, |, $( ou des backticks ; processus shell inattendus lancés par l'utilisateur du panneau.
• Fineract : appels à /search/advance avec des valeurs non numériques dans outStandingAmountPercentageCondition, erreurs SQL dans les journaux applicatifs.
• ape-volo-admin : vérifier si la clé JWT d'appsettings.json est celle du dépôt ; connexions administrateur depuis des adresses inconnues.
• madong-admin-saas : appels à /platformapi/tenant/* sans session, tenants créés ou modifiés hors procédure.

Pour d'autres prises de contrôle dans l'auto-hébergé ces derniers jours, voir notre article sur AJ-Report, Jpom, LMDeploy et trois autres projets.

Mitigation

1. Mettre à jour CWP en 1.16 ou plus, Fineract en 1.16.1, ape-volo-admin en 3.6.1 ; appliquer le commit de madong-admin-saas.
2. Remplacer les secrets par défaut (clé JWT d'ape-volo-admin), ce qui invalide aussi les jetons existants.
3. Ne pas exposer les interfaces d'administration sur Internet : VPN, liste d'adresses autorisées ou proxy authentifiant.
4. En cas d'exposition passée : auditer les comptes administrateurs, les tenants et, pour Fineract, les écritures récentes.

Pourquoi surveiller en continu tes plateformes auto-hébergées

Trois de ces quatre CVE ne seront jamais analysées par NVD : une veille fondée sur les seules correspondances CPE ne les verra pas, alors qu'elles sont notées 9.4 à 9.8.

Avec cveo.tech, ajoute à ton parc les plateformes que tu fais tourner, avec leur version, et reçois une alerte dès qu'une CVE les cite, même quand NVD ne l'a pas encore analysée.