CVE-2025-67888

Control Web Panel <= 0.9.8.1208 (admin/index.php) OSコマンドインジェクションの脆弱性

影響を受けるバージョン: バージョン 0.9.8.1208 およびそれ以前のバージョン。

脆弱性の説明:

"key" GETパラメータを介して /admin/index.php に渡されるユーザー入力は（"api" パラメータが設定されている場合）、OSコマンドの実行に使用される前に適切にサニタイズされません。このため、認証されていない攻撃者が、Webサーバー上でrootユーザーの権限で任意のOSコマンドを注入して実行するように悪用される可能性があります。

この脆弱性の悪用を成功させるには、Scripts Manager を通じて "Softaculous" および/または "SitePad" がインストールされている必要があります。

概念実証（PoC）:

https://[CWP]/admin/index.php?api=1&key=$(cmd)

解決策: バージョン 0.9.8.1209 以降にアップグレードしてください。