CVE-2026-77876: command injection in CWP Panel

Il CVE-2026-77876 descrive una falla di OS command injection nel modulo protected_directory del Control Web Panel (CWP) versioni precedenti alla 1.16. L'input non validato nel parametro file della richiesta POST con azione acc=deletedp viene passato direttamente a una chiamata shell_exec, permettendo a un attaccante di eseguire comandi arbitrari nel contesto del pannello utente.

Il punteggio CVSS è 9,8, classificato come criticità massima. La falla è stata divulgata il 2 novembre 2026. Attualmente sono stati osservati segnali di bassa attività sociale (3 post su X nelle ultime 24 ore), e non è confermata la disponibilità pubblica di exploit. Tuttavia, la descrizione ufficiale di NVD non menziona segnali di attacchi attivi o sfruttamento confermato in natura. Segnalazioni su X indicano una discrepanza sulle versioni interessate (1.16 vs 1.27 vs 1.30 nei suggerimenti di patch), che rimane da chiarire direttamente con i manutentori di CWP.

Se gestisci un'istanza di Control Web Panel, identifica immediatamente la versione in uso e, se è precedente alla 1.16, procedi all'aggiornamento ai patch più recenti (i suggerimenti di comunità indicano versione 1.30 come target). Esamina i log di accesso del modulo protected_directory per eventuali attività sospette. Fino al completamento del patch, considera di limitare l'accesso al pannello utente a indirizzi IP fidati. Ricordati di convalidare questa informazione con le comunicazioni ufficiali di CWP per dissipare il conflitto di versioni osservato nei segnali di comunità.