CVE-2025-67888

ثغرة حقن أوامر نظام التشغيل في Control Web Panel <= 0.9.8.1208 (admin/index.php)

الإصدارات المتأثرة: الإصدار 0.9.8.1208 والإصدارات السابقة له.

وصف الثغرة:

مدخلات المستخدم التي يتم تمريرها عبر معامل GET "key" إلى /admin/index.php (عند تعيين معامل "api") لا يتم تطهيرها بشكل صحيح قبل استخدامها لتنفيذ أوامر نظام التشغيل. يمكن استغلال ذلك من قبل مهاجمين غير مصادقين لحقن وتنفيذ أوامر نظام تشغيل عشوائية بصلاحيات المستخدم الجذر (root) على خادم الويب.

يتطلب الاستغلال الناجح لهذه الثغرة تثبيت "Softaculous" و/أو "SitePad" عبر مدير البرامج النصية.

إثبات المفهوم:

https://[CWP]/admin/index.php?api=1&key=$(cmd)

الحل: قم بالترقية إلى الإصدار 0.9.8.1209 أو أحدث.