CVE-2026-73695: falha de alta gravidade em Control Web Panel
Control Web Panel (CWP) < 1.16 Path Traversal via services/users/index.php
Publicada em · Atualizada em
Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.
41Vexday Risk Score
Sem sinal de exploração. Ela tem prova de conceito pública.
ssvc Attendcvss 8.7epss 1.0%
Control Web Panel (CWP) before webpanel_version 1.16 contains a path traversal vulnerability in services/users/index.php that allows attackers to include arbitrary local PHP files by supplying an unsanitized module name parameter concatenated directly into an include path. Attackers can inject directory traversal sequences into the module name to achieve local file inclusion and execute arbitrary PHP code in the user panel context.
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
Produtos afetados
Control Web Panel · Control Web PanelPoCs públicas encontradas — 1
cve_referencewww.vulncheck.com/blog/control-web-panel-pre-auth-module-dispatch-rcenão verificado⚠ Recursos públicos, para você avaliar a exposição de sistemas que controla ou está autorizado a testar. Teste apenas com autorização.
CVEs relacionadas — Control Web Panel
No mesmo produto, das mais perigosas para as menos.
CVE-2023-42120HIGHControl Web Panel dns_zone_editor Command Injection Remote Code Execution VulnerabilityEPSS 2.6%CVE-2023-42123HIGHControl Web Panel mysql_manager Command Injection Remote Code Execution VulnerabilityEPSS 2.3%CVE-2026-77876HIGHControl Web Panel (CWP) < 1.16 OS Command Injection via protected_directoryEPSS 2.3%CVE-2023-42121CRITICALControl Web Panel Missing Authentication Remote Code Execution VulnerabilityEPSS 1.8%CVE-2026-73697HIGHControl Web Panel (CWP) < 1.16 File Write and Command Injection via phpini_editorEPSS 1.8%CVE-2026-104080HIGHControl Web Panel (CWP) < 1.29 OS Command Injection via valid_tokenEPSS 1.2%