CVE-2025-67888

Control Web Panel <= 0.9.8.1208 (admin/index.php) OS 명령 주입 취약점

영향받는 버전: 버전 0.9.8.1208 및 이전 버전.

취약점 설명:

"api" 매개변수가 설정된 상태에서 "key" GET 매개변수를 통해 /admin/index.php로 전달되는 사용자 입력은 OS 명령을 실행하는 데 사용되기 전에 제대로 검증되지 않습니다. 이로 인해 인증되지 않은 공격자가 웹 서버에서 root 사용자의 권한으로 임의의 OS 명령을 주입하고 실행할 수 있습니다.

이 취약점을 성공적으로 악용하려면 Scripts Manager를 통해 "Softaculous" 및/또는 "SitePad"가 설치되어 있어야 합니다.

개념 증명(PoC):

https://[CWP]/admin/index.php?api=1&key=$(cmd)

해결 방법: 버전 0.9.8.1209 이상으로 업그레이드하십시오.