Suivi KEV › Autres éditeurs

CVE-2025-48703 CWP Control Web Panel : injection de commandes système

Critique Vulnérabilité activement exploitée, exploitable massivement : la CISA l’a ajoutée à son catalogue KEV le 4 novembre 2025.

  • Produit : CWP Control Web Panel
  • Ajoutée au catalogue : 4 novembre 2025
  • Échéance CISA : 25 novembre 2025
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-78
  • Gravité : CVSS 9,0 (critique)
  • Probabilité d’exploitation (EPSS) : 100 %

CWP Control Web Panel (anciennement CentOS Web Panel) contient une vulnérabilité d'injection de commandes système qui permet une exécution de code à distance non authentifiée via des métacaractères de shell dans le paramètre t_total d'une requête changePerm du gestionnaire de fichiers. Un nom d'utilisateur valide non-root doit être connu.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · control-webpanel.com

Gravité et exploitation

  • Score CVSS 3.1 : 9,0 sur 10, gravité critique CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H
  • Exploitable à distance, par le réseau, sans compte, sans action de la victime.
  • Probabilité d’exploitation dans les 30 jours (EPSS) : 99,7 %, parmi les 0,1 % de CVE les plus susceptibles d’être exploitées
  • Code d’exploitation public : signalé par la NVD.

Versions concernées

  • webpanel : versions < 0.9.8.1205

D’après la NVD. Vérifiez toujours l’avis de l’éditeur, qui fait foi.

Type de faiblesse

  • Injection de commandes système (CWE-78) : Le produit construit tout ou partie d'une commande système en utilisant des entrées influencées par l'extérieur d'un composant amont, mais il ne neutralise pas ou neutralise incorrectement les éléments spéciaux qui pourraient modifier la commande système prévue avant qu'elle ne soit envoyée à un composant aval.

Chronologie

  1. — Publication de la CVE
  2. — Exploitation confirmée : ajout au catalogue KEV de la CISA
  3. — Échéance de correction pour les agences fédérales américaines

Références

Sources : catalogue KEV de la CISA (CC0), NVD (NIST), EPSS (FIRST.org), CWE (MITRE). Données mises à jour automatiquement.

Texte original de la CISA (anglais)

CWP Control Web Panel OS Command Injection Vulnerability

CWP Control Web Panel (formerly CentOS Web Panel) contains an OS command Injection vulnerability that allows unauthenticated remote code execution via shell metacharacters in the t_total parameter in a filemanager changePerm request. A valid non-root username must be known.

Required action: Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

Autres failles exploitées de CWP Control Web Panel

  • CVE-2022-44877 — CWP Control Web Panel : injection de commandes système (17 janvier 2023)

← Toutes les failles des autres éditeurs · Suivi KEV