Descripción
CWP Control Web Panel (anteriormente CentOS Web Panel) contiene una vulnerabilidad de inyección de comandos del sistema operativo que permite la ejecución remota de código (RCE) sin autenticación mediante metacaracteres de shell en el parámetro t_total de una solicitud changePerm de filemanager. Es necesario conocer un nombre de usuario válido que no sea root.
Acción recomendada
Aplicar las mitigaciones del fabricante y, en servicios en la nube, seguir las recomendaciones de seguridad del proveedor; si no hay mitigaciones disponibles, discontinuar el uso del producto.
Referencia de CISA para agencias federales de EE. UU.: BOD 22-01.
Referencias
- Aviso de control-webpanel.com control-webpanel.com/changelog
- Ficha en NVD (NIST) nvd.nist.gov/vuln/detail/CVE-2025-48703
Ver el texto original en inglés (CISA)
CWP Control Web Panel OS Command Injection Vulnerability
CWP Control Web Panel (formerly CentOS Web Panel) contains an OS command Injection vulnerability that allows unauthenticated remote code execution via shell metacharacters in the t_total parameter in a filemanager changePerm request. A valid non-root username must be known.
Required action: Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Notes: https://control-webpanel.com/changelog ; https://nvd.nist.gov/vuln/detail/CVE-2025-48703
Otras vulnerabilidades de CWP en el catálogo
- CVE-2022-44877 CWP Control Web Panel OS Command Injection Vulnerability Alta 17-01-2023