CVE-2026-57517

Nome do Software Vulnerável e Versões Afetadas Control Web Panel versões anteriores a 0.9.8.1225

Descrição Um invasor remoto não autenticado pode executar consultas SQL arbitrárias devido à validação inadequada de entrada e construção insegura de consultas SQL. Aproximadamente 896.400 dispositivos em todo o mundo estão potencialmente afetados. O problema ocorre no endpoint 'user' através do parâmetro POST userRes. Ao explorar privilégios de root do MySQL, um invasor pode usar o comando INTO DUMPFILE para gravar um webshell PHP no diretório de logs do Roundcube acessível via web, resultando na execução remota de código como a conta cwpsvc e potencial comprometimento total do servidor.

Recomendações Atualize para a versão 0.9.8.1225. Como medida paliativa temporária, restrinja o acesso ao endpoint 'user' ou evite o uso do parâmetro userRes até que a atualização seja aplicada.