آسیب‌پذیری جدیدی با شناسه CVE-2026-77877 در پنل مدیریت هاستینگ Control Web Panel (CWP) شناسایی شده است که به مهاجمان اجازه می‌دهد بدون نیاز به هیچ‌گونه توکن یا اعتبارنامه‌ای، دستورات سطح Root را اجرا کنند.
جزئیات فنی و نحوه حمله
این آسیب‌پذیری (CWE-306) مربوط به نقص در فرآیند احراز هویت در سرویس API است که به رابط loopback (آدرس 127.0.0.1) متصل می‌باشد. مهاجمانی که بتوانند به این سرویس دسترسی پیدا کنند — از طریق داشتن یک حساب کاربری محلی، اجرای کد روی میزبان (Host)، یا از طریق حملات SSRF (تزریق درخواست سمت سرور) و پروکسی‌های معکوس — می‌توانند مسیرهای حساس API را مستقیماً فراخوانی کنند.
مسیرهای آسیب‌پذیر شامل موارد زیر هستند:
/v1/restoredatabase/(بازیابی پایگاه داده)/generaluser/(مدیریت کاربران عمومی)/user_panel_dashboard/(دسترسی به داشبورد مدیریت)- و سایر مسیرهای مربوط به مدیریت توکن و دسترسی کاربران.
با توجه به اینکه این عملیات با سطح دسترسی Root انجام می‌شود، مهاجم می‌تواند کنترل کامل بر سیستم، داده‌ها و تنظیمات سرور را به دست گرفته و باعث نقض کامل Confidentiality (محرمانگی)، Integrity (یکپارچگی) و Availability (در دسترس بودن) شود.
بردار حمله و محدودیت‌ها
نکته حائز اهمیت این است که این آسیب‌پذیری به صورت مستقیم از طریق اینترنت قابل اکسپلویت نیست (Attack Vector: Local). برای بهره‌برداری، مهاجم حتماً باید توانایی ارسال درخواست به آدرس localhost را داشته باشد. این موضوع باعث می‌شود خطر اصلی در محیط‌های Multi-tenant (چند مستاجری)، سرورهایی که دارای آسیب‌پذیری SSRF هستند یا سیستم‌هایی که حساب‌های کاربری محلی در آن‌ها وجود دارد، متمرکز باشد.
راهکار مقابله و اصلاح
سازنده محصول اصلاحیه لازم را منتشر کرده است. تمامی مدیران سیستم و کارشناسان امنیت باید اقدامات زیر را انجام دهند:
- به‌روزرسانی فوری: نسخه Control Web Panel را به نسخه 1.30 یا بالاتر ارتقا دهید.
- بازنشانی سرویس: پس از آپدیت، حتماً سرویس CWP را مجدداً راه‌اندازی (Restart) کنید تا API اصلاح‌شده بارگذاری شود.
- محدودسازی دسترسی: در صورت عدم امکان آپدیت فوری، دسترسی به پورت‌های مربوط به API روی لوپ‌بک را محدود کرده و مسیرهای احتمالی SSRF را بررسی کنید.
