CVE-2025-48703criticalbajo ataqueCWE-78

CVE-2025-48703: fallo crítico en centos-webpanel CentOS Web Panel

Publicada el · Actualizada el

100Vexday Risk Score

Corrige ahora. Ella está bajo explotación confirmada por CISA y tiene exploit funcional público.

ssvc Actcvss 9epss 100%
de la publicación al arma0 días
Publicada en NVD19 sept
1ª PoC26 jun
CISA KEV+46d
probabilidad de explotación
100%top 1% de las CVE
explotación observada
síCISA + VulnCheck
7 exploit(s) público(s)
Acción exigida por CISAplazo federal: 2025-11-25

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

En resumen

CWP (Panel Web de CentOS) anterior a la versión 0.9.8.1205 tiene una falla crítica que permite a atacantes ejecutar comandos maliciosos en el servidor sin iniciar sesión. Explotan esto inyectando comandos de shell en una solicitud de cambio de permisos de archivo, siempre que conozcan un nombre de usuario que no sea root.

Detalle técnico

Existe inyección de comandos del sistema operativo (CWE-78) en el endpoint filemanager changePerm donde el parámetro t_total no se sanitiza adecuadamente antes de pasarse a la ejecución de shell. Un atacante no autenticado puede inyectar metacaracteres de shell para lograr ejecución remota de código, siempre que posea un nombre de usuario válido que no sea root. La vulnerabilidad afecta versiones anteriores a 0.9.8.1205.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

CWP (aka Control Web Panel or CentOS Web Panel) before 0.9.8.1205 allows unauthenticated remote code execution via shell metacharacters in the t_total parameter in a filemanager changePerm request. A valid non-root username must be known.
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H
Productos afectados
centos-webpanel · CentOS Web Panel
PoCs públicas encontradas — 7
githubgithub.com/Skynoxk/CVE-2025-48703★ 4githubgithub.com/ftz7/PoC-CVE-2025-48703★ 2githubgithub.com/itstarsec/CVE-2025-48703★ 0vulncheckvulncheck.com/xdb/8f0fc08a3035no verificadovulncheckvulncheck.com/xdb/72b1f2c9adabno verificadovulncheckvulncheck.com/xdb/eccf2fe611b8no verificadovulncheckvulncheck.com/xdb/7000a73bc367no verificado
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
Referencias
https://control-webpanel.com/changeloghttps://fenrisk.com/rce-centos-webpanelhttps://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-48703