- Yama var
- Son 7 gün
- CWE-78
CVE-2026-104080
Control Web Panel (CWP) valid_token rotasında OS komut enjeksiyonu
- Yayımlandı
- Güncellendi
- 3 Kas 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Bu açık, sunucunun tam kontrolünün kimlik doğrulaması olmadan bir saldırgana geçmesine olanak tanıyabilir. Etkilenen sunucular barındırdıkları web siteleri ve müşteri verileriyle birlikte risk altındadır. Sunucu yöneticilerinin bu güncellemeyi öncelikli olarak uygulaması gerekmektedir.
ÖzetTürkçe
Control Web Panel (CWP) sürüm 1.29 öncesinde, loopback API üzerindeki /valid_token/ rotasında işletim sistemi komut enjeksiyonu açığı bulunmaktadır. Rotadaki 'user' parametresi doğrulanmadan ve kaçış karakterleri işlenmeden shell_exec çağrısına aktarılmaktadır. Bu nedenle sistemde kimlik doğrulaması olmayan saldırganlar bu açığı kullanabilir.
Saldırgan ne yapabilir?
Saldırgan, shell metakarakterleri içeren hazırlanmış bir istekle kimlik doğrulaması olmadan keyfi komutları root yetkisiyle çalıştırabilir. Bu durum sunucunun tamamen ele geçirilmesine ve verilerin okunmasına, değiştirilmesine veya silinmesine yol açabilir.
Kaynaktaki açıklama (İngilizce)
Control Web Panel (CWP) before webpanel_version 1.29 contains an OS command injection vulnerability in the loopback API /valid_token/ route that allows unauthenticated attackers to execute arbitrary commands as root by injecting shell metacharacters into the unvalidated 'user' parameter. Attackers can send a crafted request to the /valid_token/ route, which passes the parameter unescaped into a shell_exec() call.
Ne yapmalı?
- Control Web Panel'i 1.29 veya daha yeni bir sürüme güncelleyin. Üretici
- Güncelleme tamamlanana kadar, yerel ağ dışından panel ve API erişimini güvenlik duvarı kuralları ile kısıtlayın. Genel öneri
- Güncelleme sonrasında sunucuda beklenmeyen süreç, kullanıcı veya zamanlanmış görev olup olmadığını kontrol edin. Genel öneri
Ek önlemler
- Panelin ve loopback API'nin erişim günlüklerini şüpheli /valid_token/ isteklerine karşı izleyin. Genel öneri
- Yönetim arayüzlerini internete doğrudan açmak yerine VPN veya IP beyaz listesi arkasında tutun. Genel öneri
- Panel sunucusunda en az yetki ilkesini uygulayın ve gereksiz hesapların kullanımını kısıtlayın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Control Web Panel | < 1.29 | 1.29 |
Kaynaklar5 kaynak
- CVE.org kaydı
- NVD kaydı
- control-webpanel.com/changelog Yama
- vulncheck.com/…panel-cwp-os-command-injection-via-valid-token Üçüncü taraf
- vulncheck.com/…control-web-panel-pre-auth-module-dispatch-rce İstismar kodu ya da analiz
Kayıt geçmişi
- Açıklama güncellendi
- Etkilenen sürüm bilgisi güncellendi
- CVSS puanı değişti: 8.4 → 7.8
- Açıklama güncellendi
- CVSS puanı değişti: 7.8 → 8.4
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.