جزئیات آسیب‌پذیری
CVE-2026-77879
Control Web Panel Control Web Panel
Control Web Panel (CWP) < 1.16 SQL Injection via access_token() API
CVSS 4.0
8.4بالا
نمای کلی
اکسپلویت‌های عمومی
اخبار مرتبط
خط زمانی
خلاصه‌ی فارسی
خلاصه‌ی فارسی برای این آسیب‌پذیری هنوز تهیه نشده است.
شرح رسمی (انگلیسی)
Control Web Panel (CWP) before webpanel_version 1.16 contains a SQL injection vulnerability in the loopback API authentication gate access_token(), which connects to MySQL as root and interpolates attacker-controlled values directly into its query. Attackers can inject SQL through the authorization_code and client_id parameters to read arbitrary database contents and forge the authentication result, bypassing the API's authentication check.
امتیازهای CVSS
| امتیاز | نسخه | منبع | بردار |
|---|---|---|---|
| 8.4بالا | 4.0 | CVEProject cvelistV5 (CNA) (VulnCheck) | CVSS:4.0/AV:L/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N |
| 7.1بالا | 3.1 | CVEProject cvelistV5 (CNA) (VulnCheck) | CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N |
محصولات آسیب‌پذیر
| فروشنده | محصول | نسخه‌ها | منبع |
|---|---|---|---|
| Control Web Panel | Control Web Panel | v < 1.16 | CVEProject cvelistV5 (CNA) |
منابع و راهنماها
۳- https://control-webpanel.com/changelog release-notespatch
- https://www.vulncheck.com/blog/control-web-panel-pre-auth-module-dispatch-rce technical-descriptionexploit
- https://www.vulncheck.com/advisories/control-web-panel-cwp-sql-injection-via-access-token-api third-party-advisory
اطلاعات
- تاریخ انتشار
- ۱۴۰۵/۰۸/۱۱
- آخرین به‌روزرسانی
- ۱۴۰۵/۰۸/۱۲
- وضعیت
- PUBLISHED
- صادرکننده (CNA)
- VulnCheck
- اولویت کلون
- به‌زودی
پیش‌بینی بهره‌برداری (EPSS)
۰٫۲۳٪
احتمال بهره‌برداری در ۳۰ روز
۱۴٫۱٪
صدک (نسبت به همه‌ی CVEها)
ضعف‌ها (CWE)
- CWE-89Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection')