检测

Control Web Panel < 0.9.8.1147 远程代码执行

critical Web App Scanning 插件 ID 113546

语言：

简介

Control Web Panel < 0.9.8.1147 远程代码执行

描述

Control Web Panel（CWP，旧称 CentOS Web Panel）是一款免费的 Linux 控制面板软件。低于 0.9.8.1147 的 CWP 版本会受到操作系统命令注入的影响，可通过 `/login/index.php` 端点上的 `login` GET 参数实现。未经身份验证的攻击者可利用此漏洞，在目标应用程序上实现远程代码执行，并完全攻破目标系统。

解决方案

将 CWP 更新到 0.9.8.1147 或更高版本。

另见

https://control-webpanel.com/changelog#1669855527714-450fb335-6194

https://www.bleepingcomputer.com/news/security/hackers-exploit-control-web-panel-flaw-to-open-reverse-shells/

插件详情

严重性: Critical

ID: 113546

类型: remote

发布时间: 2023/1/23

最近更新时间: 2023/1/23

扫描模板: basic, full, pci, scan

风险信息

VPR

风险因素: Critical

分数: 9.0

CVSS v2

风险因素: Critical

基本分数: 10

矢量: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C

CVSS 分数来源: CVE-2022-44877

CVSS v3

风险因素: Critical

基本分数: 9.8

矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

CVSS 分数来源: CVE-2022-44877

漏洞信息

CPE: cpe:2.3:a:control-webpanel:webpanel:*:*:*:*:*:*:*:*

可利用: true

易利用性: Exploits are available

补丁发布日期: 2022/10/25

漏洞发布日期: 2023/1/4

CISA 已知可遭利用的漏洞到期日期: 2023/2/7

参考资料信息

CVE: CVE-2022-44877