Control Web Panel (CWP) < 1.29 Blind SQL Injection via user Parameter

Özet

Türkçe özeti yalnızca kritik ve yüksek önemdeki açıklar için hazırlıyoruz. Bu açık için kaynağın kendi açıklamasını gösteriyoruz.

Control Web Panel (CWP) before webpanel_version 1.29 contains a blind SQL injection vulnerability in an unauthenticated loopback API route that connects to MySQL as root, where the 'user' parameter is interpolated directly into a query against the oauth_clients table. Attackers can send crafted requests to the unauthenticated route (originally /user_panel_dashboard/, later /valid_token/) to perform time-based blind SQL injection and extract arbitrary database contents.

Etkilenen sürümler1 yazılım

Kaynaklar5 kaynak

• CVE.org kaydı
• NVD kaydı
• control-webpanel.com/changelog Yama
• vulncheck.com/…nel-cwp-blind-sql-injection-via-user-parameter Üçüncü taraf
• vulncheck.com/…control-web-panel-pre-auth-module-dispatch-rce İstismar kodu ya da analiz

Kayıt geçmişi

1. 3 Kas 2026 20:00Açıklama güncellendi
2. 3 Kas 2026 20:00Etkilenen sürüm bilgisi güncellendi
3. 3 Kas 2026 20:00CVSS puanı değişti: 6.2 → 5.5
4. 2 Kas 2026 18:40CVSS puanı değişti: 5.5 → 6.2
5. 2 Kas 2026 18:21Yayımlandı

İlgili açıklar

• 7,8 CVE-2026-104080Control Web Panel (CWP) valid_token rotasında OS komut enjeksiyonu
• 7,8 CVE-2026-77880Control Web Panel (CWP) 1.16 öncesi /newpass/ üzerinden OS komut enjeksiyonu
• 7,1 CVE-2026-77879Control Web Panel (CWP) access_token API'sinde SQL enjeksiyonu
• 7,8 CVE-2026-77878Control Web Panel'de restoredatabase API üzerinden OS komut enjeksiyonu
• 7,8 CVE-2026-77877Control Web Panel (CWP) 1.29 öncesi: Kimlik doğrulamasız loopback API üzerinden root yetkisi
• 8,8 CVE-2026-77876Control Web Panel (CWP) protected_directory modülünde OS komut enjeksiyonu