CVE-2026-73696 in Control Web Panel
الملخص
بحسب VulDB • 02/11/2026
تحتوي لوحة التحكم في الويب (CWP) قبل الإصدار webpanel_version 1.12 على ثغرة تنفيذ بعد إعادة التوجيه (execution after redirect) في تدفق مصادقة لوحة المستخدم، حيث تستدعي الدالة `unauthenticatedFlow()` الخاصة بـ `CWPUserIndex` دالة `toLoginWithIntendedUri()` التي تُصدر رأسًا لإعادة التوجيه دون استدعاء `exit()`، مما يسمح باستمرار تنفيذ PHP وتشغيل مُدرج الوحدة النمطية (module dispatcher include) بدون مصادقة. يمكن للمهاجمين الذين لا يملكون سوى اسم مستخدم استضافة صالح تجاوز المصادقة للوصول إلى مسارات كود وحدة لوحة المستخدم، ما يمكّنهم من تحقيق سلسلة وصول قبل المصادقة تؤدي إلى الحصول على صلاحيات الجذر (root access).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.