CWP · Control Web Panel
CVE-2025-48703
CWP Control Web Panel OS Command Injection Vulnerability
Qué es
CWP (aka Control Web Panel or CentOS Web Panel) before 0.9.8.1205 allows unauthenticated remote code execution via shell metacharacters in the t_total parameter in a filemanager changePerm request. A valid non-root username must be known.
CISA: CWP Control Web Panel (formerly CentOS Web Panel) contains an OS command Injection vulnerability that allows unauthenticated remote code execution via shell metacharacters in the t_total parameter in a filemanager changePerm request. A valid non-root username must be known.
Qué hacer
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Plazo para las agencias federales de EE. UU.: 25 de noviembre de 2025
- Añadida a la lista de CISA
- 4 de noviembre de 2025
- Publicada
- 19 de septiembre de 2025
- Gravedad
- Crítica 9,0 CVSS 3.1
- Probabilidad de ataques en los próximos 30 días (EPSS)
- 99,7% entre el 0,1% superior de todas las vulnerabilidades conocidas
- Debilidad
- CWE-78
- Más detalles
- NVD · CVE.org · CISA
Todas las referencias (1)
Más fallos explotados de CWP
| Añadido | Vulnerabilidad | Producto | Gravedad | Prob. de ataque |
|---|---|---|---|---|
| 17 ene 2023 | OS Command Injection | Control Web Panel | Crítica 9,8 | >99,9% |
Fuentes: Known Exploited Vulnerabilities (CISA, dominio público), CVE records (cve.org) y EPSS (FIRST). La probabilidad de ataque es la estimación EPSS de que alguien intente explotar el fallo en los próximos 30 días.