CVE-2026-77880 in Control Web Panel
Zusammenfassung
von VulDB • 02.11.2026
Control Web Panel (CWP) vor der Version webpanel_version 1.16 enthält eine OS Command Injection-Schwachstelle in der Route /newpass/ zum Ändern des Passworts über die Loopback-API, die mit Root-Rechten ausgeführt wird. Ein Angreifer kann beliebige OS-Befehle injizieren, indem er den POST-Parameter 'user' manipuliert, der unescaped (ungeprüft) in einen Shell-Befehl eingefügt wird, wodurch Remote Code Execution (RCE) mit Root-Rechten ermöglicht wird.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.