Valentin Lobstein

Control Web Panel (CWP) before webpanel version 1.30.6 contains a host header injection vulnerability that allows unauthenticated attackers to manipulate the password-recovery reset URL by injecting the HTTP Host header into the /v1/lostpass/ route's token generation process. Attackers can lure an automated mail-security scanner into visiting the poisoned reset link to exfiltrate the live recovery token, replay it at /login/index.php?acc=newpass to set a new password, and subsequently abuse the File Manager and Crontab modules to achieve command execution as the targeted hosting account.

Control Web Panel (CWP) before webpanel version 1.30.6 contains an authorization bypass vulnerability in the validate() function of api/v1/index.php that allows attackers holding a password-recovery token and a predictable legacy signature to obtain valid remote-API authorization without a proper API key. Attackers can exploit this flaw via the POST /cronjobsusers/ endpoint to add arbitrary cron commands and achieve command execution as the affected hosting account, and can also abuse the same token to access global account-list and account-detail routes exposing usernames, contact emails, and password hashes.

Uma falha de injeção de comando de SO pré-autenticação permite que atacantes remotos não autenticados executem comandos arbitrários com privilégios de root. O problema ocorre devido à interpolação não escapada do valor da senha na invocação `hashpass` dentro dos arquivos `login.lua`, `cleanout.lua` e `api.lua`, que é então executada via o interpretador setuid `wlua`. Atacantes podem explorar isso injetando metacaracteres de shell no campo de senha.

A conta web do Administrador está configurada para usar o `password mode` daily password sem uma senha armazenada. Isso ocorre porque a função `authenticate()` em `lualib users.lua` sintetiza a configuração do Administrador sem validar qualquer segredo armazenado. Um invasor que consiga derivar a senha diária baseada no MAC pode se autenticar como Administrador para obter uma sessão administrativa completa no dispositivo.

Uma falha de gravação arbitrária de arquivo não autenticada permite que atacantes remotos modifiquem o arquivo de configuração do sistema `/etc/xwebconfig.json`. Isso é feito enviando uma requisição POST manipulada para o endpoint `config.lua` com o parâmetro `action` definido como `set`. O sistema não realiza a validação de sessão e grava o corpo da requisição bruto e não validado no arquivo. Atacantes podem manipular valores de configuração, como os campos `model` e `plugin`, ou desencadear um estado `SYSTEM NOT CONFIGURED` usando as operações `action=get` e `action=set`, resultando em adulteração de configuração e negação de serviço.

O software contém uma senha de backdoor codificada que permite que atacantes remotos não autenticados obtenham acesso administrativo total à conta de Administrador integrada. Ao usar a credencial codificada `xwebevonewgeneration` em uma única requisição, um atacante pode obter uma sessão de administrador completa e controle total sobre a aplicação. Além disso, o sistema é suscetível a uma Execução Remota de Código (RCE) de root pré-autenticação, que permite a um atacante executar código arbitrário com privilégios de root no servidor.

XWEB EVO 5.2.3 through 5.8.8 contains an authenticated OS command injection vulnerability in the devices.lua template handling, which allows authenticated attackers to execute arbitrary commands by injecting unescaped template source into unzip and related shell commands. Attackers can exploit this flaw through the wlua interpreter to execute arbitrary commands with root privileges on the affected device. This product line reached it's end of service date in March 2026.

Uma falha de injeção de comando de SO autenticada existe onde atacantes podem executar comandos arbitrários com privilégios de root. Isso ocorre ao injetar metacaracteres de shell no parâmetro de caminho do dispositivo de saída processado por `backup.lua`. O problema decorre da concatenação não escapada em comandos de shell `mount`, `unzip` e relacionados, executados via interpretador wlua, especificamente através das interfaces setuid `xwbackup.cgi` e `xwrestore.cgi`, podendo levar ao comprometimento total do sistema.

Atacantes remotos não autenticados podem executar comandos arbitrários com privilégios de root explorando o CGI setuid-root 'xwconsole.cgi'. O problema ocorre porque o parâmetro `sh` é passado sem sanitização para a função `popen()`, resultando em injeção de comando e comprometimento total do sistema.

XWEB EVO 5.6.2 through 5.8.8 contains an information disclosure vulnerability that allows unauthenticated attackers to obtain the device's eth0 MAC address and system clock by accessing sysinfo.lua, which also feeds the pre-login page. Attackers can use the disclosed MAC address and system clock values to offline derive the MAC-based daily password, enabling unauthorized authentication to the device. This product line reached it's end of service date in March 2026.

XWEB EVO 5.6.2 through 5.8.8 contains an authenticated OS command injection vulnerability in the api.lua import preconfiguration and restore actions, where server url and related server credential fields are concatenated unescaped into a root curl command executed via io.popen. Attackers can inject malicious shell commands through these unfiltered parameters to achieve arbitrary command execution with root privileges on the underlying system. This product line reached it's end of service date in March 2026.

O software contém um problema de geração de credenciais previsíveis que permite a atacantes derivar a senha de root do Linux. Isso é feito computando um prefixo fixo combinado com um valor de senha diário. Para versões anteriores a 5.7.0, a credencial de root era idêntica em todas as unidades. A partir da versão 5.7.0, a credencial permanece derivável a partir da senha diária baseada no MAC, permitindo acesso root não autorizado ao sistema operacional subjacente.

Um mecanismo fraco de geração de senhas permite que atacantes remotos derivem a senha de administrador do dia. Isso é possível utilizando apenas o endereço MAC do dispositivo e a data atual, pois nenhum segredo do servidor está envolvido no processo. Atacantes podem analisar o binário do firmware `xwpasswd`, que funciona como o gerador de senhas, para calcular credenciais de Administrador válidas offline e autenticar-se no dispositivo sem autorização.

XWEB EVO 5.6.2 through 5.8.8 contains an authentication bypass vulnerability that allows unauthenticated attackers to set the password of any account flagged must-reset-at-next-login by exploiting missing session validation in the users.lua update password action. Attackers can reset the password of newly onboarded operator accounts, clearing the password expiration flag and gaining an immediately usable authenticated foothold on the system. This product line reached it's end of service date in March 2026.

Uma falha de injeção de comando de SO pré-autenticação permite que atacantes remotos não autenticados executem comandos arbitrários do sistema operacional. Isso é feito injetando metacaracteres de shell no campo `username` dos endpoints 'login.lua', 'cleanout.lua' ou 'api.lua' antes da verificação de senha. Quando combinado com o interpretador wlua setuid-root, isso permite a execução de comandos com privilégios de root, resultando no comprometimento total do sistema.

XWEB EVO before 5.6.2 contains a command injection vulnerability where the setuid-root Lua CGI interpreter wlua executes system("/usr/bin/lua "+argv) on unsanitized input. Attackers can craft malicious input reached through a .lua CGI endpoint to inject arbitrary commands into the concatenated argv string, achieving command execution with root privileges. This product line reached it's end of service date in March 2026.

A biblioteca padrão `net.http` contém uma falha de bypass de validação de certificado TLS. Isso ocorre porque `SSLConnectConfig.validate` e `FetchConfig.validate` possuem o valor padrão `false`, permitindo que o handshake TLS seja concluído sem verificar os certificados nos backends mbedtls e OpenSSL. Um atacante on-path pode interceptar, ler ou modificar o tráfego HTTPS ao apresentar um certificado expirado, autoassinado, com hostname incorreto ou raiz não confiável quando o cliente utiliza `http.get`, `http.post` ou `http.fetch` sem configurar explicitamente `validate: true`.

Um problema de cross-site scripting não autenticado existe no endpoint 'templates/progress/clientside/restoreprogress.sgp'. Atacantes remotos podem injetar JavaScript arbitrário ao manipular os parâmetros `mn`, `rnm`, `isRepliRestore`, `rusr` e `rpwd`, que são refletidos sem sanitização na resposta HTML. Isso permite a execução de scripts maliciosos na sessão do navegador de uma vítima, podendo levar ao sequestro de sessão ou manipulação da interface.

Um problema de cross-site scripting não autenticado existe no arquivo `templates/progress/serverside/serverbackupprogress.sgp`. Atacantes remotos podem injetar JavaScript arbitrário manipulando os parâmetros `ClientName`, `BackupName` e `grpName`. Essas variáveis são interpoladas sem sanitização em chamadas `loadXMLDoc()` e refletidas em solicitações POST `AbortBackup()` enviadas ao endpoint `dodeleteclientbackup.sgp`. Isso permite a execução de scripts maliciosos na sessão do navegador de uma vítima, podendo levar ao sequestro de sessão ou manipulação da interface.

Um problema de execução após redirecionamento existe no fluxo de autenticação do painel do usuário (CWPUserIndex). Isso ocorre devido à ausência de uma chamada exit() após um redirecionamento header('Location: ...'), o que permite que invasores não autenticados ignorem a autenticação. Ao enviar solicitações não autenticadas, os invasores podem forçar o motor PHP a continuar a execução após o redirecionamento e acessar funcionalidades do painel do usuário que deveriam estar restritas.