CVE-2022-44877criticalbajo ataqueCWE-78

CVE-2022-44877

Publicada el 05 ene 2023 · Actualizada el 21 oct 2025

Seguir esta CVE + Monitorear Control Web Panel

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

100Vexday Risk Score

Corrige ahora. Ella está bajo explotación confirmada por CISA y tiene exploit funcional público.

ssvc Actcvss 9.8epss 100%

de la publicación al armael mismo día

Publicada en NVD5 ene

1ª PoC5 ene

metasploit5 ene

CISA KEV+12d

Acción exigida por CISAplazo federal: 2023-02-07

Apply updates per vendor instructions.

En resumen

La página de inicio de sesión de CWP (Control Web Panel) versión 7 permite que atacantes ejecuten comandos dañinos en el servidor inyectando caracteres especiales en el campo de login. Esto es crítico porque da a los atacantes control total del servidor sin necesidad de una cuenta válida.

Detalle técnico

Inyección de Comandos del SO (CWE-78) en login/index.php permite que atacantes remotos no autenticados ejecuten comandos arbitrarios del sistema mediante metacaracteres shell no sanitizados en el parámetro login. La vulnerabilidad afecta CWP 7.x anterior a 0.9.8.1147 sin requerir autenticación; la explotación exitosa otorga acceso completo a nivel de SO en el servidor afectado.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

login/index.php in CWP (aka Control Web Panel or CentOS Web Panel) 7 before 0.9.8.1147 allows remote attackers to execute arbitrary OS commands via shell metacharacters in the login parameter.

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Productos afectados

n/a · n/a

PoCs públicas encontradas — 20

exploitdbwww.exploit-db.com/exploits/51194no verificado exploitdbwww.exploit-db.com/exploits/51250no verificado githubgithub.com/numanturle/CVE-2022-44877★ 103 githubgithub.com/komomon/CVE-2022-44877-RCE★ 10 githubgithub.com/hotpotcookie/CVE-2022-44877-white-box★ 6 githubgithub.com/Chocapikk/CVE-2022-44877★ 4 githubgithub.com/ColdFusionX/CVE-2022-44877-CWP7★ 1 githubgithub.com/G01d3nW01f/CVE-2022-44877★ 0 githubgithub.com/rhymsc/CVE-2022-44877-RCE★ 0 githubgithub.com/dkstar11q/CVE-2022-44877★ 0 vulncheckvulncheck.com/xdb/8af08da7a934no verificado vulncheckvulncheck.com/xdb/500e8a0e02e1no verificado vulncheckvulncheck.com/xdb/9bd08aaee5d4no verificado cve_referencepacketstormsecurity.com/files/171725/Control-Web-Panel-7-CWP7-0.9.8.1147-Remote-Code-Execution.htmlno verificado vulncheckvulncheck.com/xdb/c7c9b96ed2ceno verificado vulncheckvulncheck.com/xdb/112b1d817777no verificado cve_referencepacketstormsecurity.com/files/170820/Control-Web-Panel-Unauthenticated-Remote-Command-Execution.htmlno verificado cve_referencepacketstormsecurity.com/files/170388/Control-Web-Panel-7-Remote-Code-Execution.htmlno verificado vulncheckvulncheck.com/xdb/4cbc25e487aano verificado vulncheckvulncheck.com/xdb/d1a80792b675no verificado

⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.

Referencias

http://packetstormsecurity.com/files/170388/Control-Web-Panel-7-Remote-Code-Execution.html http://packetstormsecurity.com/files/170820/Control-Web-Panel-Unauthenticated-Remote-Command-Execution.html http://packetstormsecurity.com/files/171725/Control-Web-Panel-7-CWP7-0.9.8.1147-Remote-Code-Execution.html http://seclists.org/fulldisclosure/2023/Jan/1 https://gist.github.com/numanturle/c1e82c47f4cba24cff214e904c227386 https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2022-44877 https://www.youtube.com/watch?v=kiLfSvc1SYY