CWP · Control Web Panel
CVE-2025-48703
CWP Control Web Panel OS Command Injection Vulnerability
De quoi s'agit-il
CWP (aka Control Web Panel or CentOS Web Panel) before 0.9.8.1205 allows unauthenticated remote code execution via shell metacharacters in the t_total parameter in a filemanager changePerm request. A valid non-root username must be known.
CISA: CWP Control Web Panel (formerly CentOS Web Panel) contains an OS command Injection vulnerability that allows unauthenticated remote code execution via shell metacharacters in the t_total parameter in a filemanager changePerm request. A valid non-root username must be known.
Que faire
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Échéance pour les agences fédérales américaines : 25 novembre 2025
- Ajoutée à la liste de la CISA
- 4 novembre 2025
- Publiée
- 19 septembre 2025
- Gravité
- Critique 9,0 CVSS 3.1
- Probabilité d'attaques dans les 30 prochains jours (EPSS)
- 99,7% dans les 0,1% les plus à risque de toutes les failles connues
- Faiblesse
- CWE-78
- Plus de détails
- NVD · CVE.org · CISA
Toutes les références (1)
Autres failles exploitées chez CWP
| Ajouté | Faille | Produit | Gravité | Risque d'attaque |
|---|---|---|---|---|
| 17 janv. 2023 | OS Command Injection | Control Web Panel | Critique 9,8 | >99,9% |
Sources : Known Exploited Vulnerabilities (CISA, domaine public), CVE records (cve.org) et EPSS (FIRST). Le risque d'attaque est l'estimation EPSS qu'une personne tente d'exploiter la faille dans les 30 prochains jours.