PT-2026-38670 · Unknown+1 · Control Web Panel+2

Publicado 2026-05-08 · Atualizado 2026-05-26 · CVE-2025-67888

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.3

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L

Nome do Software Vulnerável e Versões Afetadas Control Web Panel (CWP) versões anteriores a 0.9.8.1209

Descrição Atacantes não autenticados podem injetar e executar comandos arbitrários do sistema operacional com privilégios de root no servidor web. Isso ocorre porque a entrada do usuário fornecida através do parâmetro GET key no endpoint '/admin/index.php' não é devidamente sanitizada quando o parâmetro api está definido. Este problema requer a presença do Softaculous ou SitePad.

Recomendações Atualize para a versão 0.9.8.1209 ou posterior.

Exploit

Correção

RCE

OS Command Injection

Enumeração de Fraquezas

CWE-78

Identificadores relacionados

CVE-2025-67888

Produtos afetados

Control Web Panel

Sitepad

Softaculous

Referências · 8

• 🔥 https://karmainsecurity.com/KIS-2025-09 · Exploit
• https://nvd.nist.gov/vuln/detail/CVE-2025-67888 · Nota de Segurança
• https://t.me/cveNotify/162683 · Publicação no Telegram
• https://twitter.com/CVEnew/status/2053559171316842726 · Publicação no Twitter
• https://wiki.centos-webpanel.com/cwp-security-instructions · Nota
• http://seclists.org/fulldisclosure/2025/Dec/25 · Nota
• https://twitter.com/DFIR_Lab/status/2059063302597013992 · Publicação no Twitter
• https://t.me/CVEtracker/53094 · Publicação no Telegram