CVE-2026-73695 in Control Web Panel

摘要

由 VulDB • 2026-11-02

Control Web Panel (CWP) 在 webpanel_version 1.16 之前的版本中存在路径遍历漏洞，位于 services/users/index.php。攻击者提供的模块名称被直接拼接到包含路径中，且未使用允许列表、basename() 函数或任何遍历清理措施进行过滤。攻击者可以在模块名中提供目录遍历序列以包含任意本地 .php 文件，从而导致本地 PHP 文件包含（Local File Inclusion）。

Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.

• 负责: VulnCheck
• 预定: 2026-08-13
• 披露: 2026-11-02
• 管理: 已接受
• 条目: VDB-429878
• CPE: 20261102
• CWE: CWE-22 (已确认)
• CVSS: 8.8 (CNA)
• EPSS: 0.00000
• KEV: 否
• 活动: 低

来源

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-73695
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-73695
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-73695/