آسیب‌پذیری جدیدی با شناسه CVE-2026-77880 در پنل مدیریت هاستینگ Control Web Panel (CWP) شناسایی شده است که می‌تواند منجر به OS Command Injection و در نهایت تسلط کامل مهاجم بر سرور شود.
جزئیات فنی و نحوه حمله
این آسیب‌پذیری در نسخه‌های پیش از webpanel_version 1.16 وجود دارد. مهاجم می‌تواند با ارسال یک درخواست POST به مسیر /newpass/ در API مربوط به تغییر رمز عبور (loopback API)، پارامتر user را با کاراکترهای خاص (shell metacharacters) دستکاری کند. از آنجایی که CWP این پارامتر را بدون پاک‌سازی (unescaped) مستقیماً در یک دستور Shell که با سطح دسترسی root اجرا می‌شود، قرار می‌دهد، مهاجم می‌تواند دستورات دلخواه خود را در سطح بالاترین سطح دسترسی سیستم اجرا کند.
ابهام در برد حمله (Attack Vector)
نکته حائز اهمیت برای تیم‌های امنیتی، تضاد در برد حمله این آسیب‌پذیری است. بر اساس بردار CVSS، این حمله از نوع Local (AV:L) ارزیابی شده است که به معنای نیاز به دسترسی محلی یا Loopback است. با این حال، گزارش‌های تحقیقاتی نشان می‌دهند که احتمال وجود یک مسیر pre-auth module dispatch وجود دارد که می‌تواند درخواست‌های خارجی را به این نقطه اتصال داخلی هدایت کند. اگر چنین مسیری وجود داشته باشد، این آسیب‌پذیری از یک حمله محلی به یک RCE (Remote Code Execution) از راه دور و بدون نیاز به احراز هویت تبدیل می‌شود که خطر آن را به شدت افزایش می‌دهد.
اقدامات اصلاحی
توصیه می‌شود تمامی مدیران سیستم و سازمان‌هایی که از CWP استفاده می‌کنند، بلافاصله پنل خود را به نسخه 1.16 یا بالاتر ارتقا دهند. تا زمان اعمال وصله امنیتی، بررسی کنید که آیا مسیرهای API داخلی از طریق مکانیزم‌های Dispatch یا SSRF در معرض دسترسی مستقیم اینترنت قرار دارند یا خیر.
