Résumé
généré automatiquement à partir des données NVDControl Web Panel (CWP), dans les versions antérieures à webpanel_version 1.16, présente une injection de commandes système (CWE-78) dans le module de panneau utilisateur protected_directory. Le paramètre POST file de l'action acc=deletedp est transmis sans échappement à un appel shell_exec, ce qui permet d'exécuter des commandes arbitraires dans le contexte du panneau utilisateur. La vulnérabilité est notée 9.8 (CRITICAL, CVSS v3.1), avec un vecteur réseau sans authentification.
Description NVD (anglais)
Control Web Panel (CWP) before webpanel_version 1.16 contains an OS command injection vulnerability in the protected_directory user panel module that allows attackers to execute arbitrary commands by submitting unescaped input through the file POST parameter in the acc=deletedp action. Attackers can exploit this flaw, which passes attacker-controlled input directly into a shell_exec call, to achieve code execution in the user panel context.
Articles d'analyse sur cveo.tech
Cette CVE est analysée dans un article : contexte, versions concernées et correctifs publiés.
Score CVSS v3.1
Informations
- Publié
- 2 nov. 2026
- Mis à jour
- 2 nov. 2026
- Statut
- Deferred
- Source
- disclosure@vulncheck.com
Faiblesses (CWE)
CVEs similaires
Autres vulnérabilités de type CWE-78
Sache quelles CVE touchent les versions que tu fais tourner.
Ajoute le produit et sa version : cveo.tech affiche tout de suite les CVE qui le concernent, puis t'alerte par email quand une nouvelle CVE le concerne — y compris avant que NVD ait fini son analyse. Gratuit, il suffit d'un compte.