¿Qué es CVE-2026-104080 en Control Web Panel?

CVE-2026-104080 representa una brecha de seguridad crítica en Control Web Panel (CWP) presente en versiones anteriores a la webpanel_version 1.30 CVE-2026-58946: Vulnerabilidad Crítica CVSS 8.4. El fallo consiste en una inyección de comandos del sistema operativo alojada en la ruta de la API loopback denominada /valid_token/.

Un atacante no autenticado puede enviar una solicitud manipulada e introducir metacaracteres de shell dentro del parámetro user, el cual no ha sido validado previamente. Esta entrada se procesa sin escapar directamente en una llamada a la función shell_exec(), logrando la ejecución arbitraria de comandos con privilegios de root.

¿A quién afecta esta vulnerabilidad de inyección de comandos?

El problema afecta de manera directa a todos los administradores de sistemas y servidores que ejecutan versiones de Control Web Panel anteriores a la 1.30 CVE-2026-58957: Vulnerabilidad Crítica CVSS 8.4. Al no requerir ningún tipo de credenciales o autenticación previa, cualquier atacante externo con acceso a la red puede lanzar la explotación.

La gravedad del vector de ataque se refleja en su puntuación CVSS de 8.4, catalogada con severidad alta y clasificada bajo la debilidad CWE-78.

¿Cómo me protejo frente a esta vulnerabilidad?

Para solucionar este problema de forma definitiva es necesario aplicar las actualizaciones de seguridad facilitadas por los desarrolladores de la plataforma. Al igual que ocurre al corregir incidencias complejas como la Vulnerabilidad crítica CVE-2026-115905 con CVSS 10.0, mantener el software actualizado previene brechas graves.

Siga los pasos de mitigación recomendados a continuación para asegurar su entorno de servidor frente a peticiones maliciosas en la API.

  1. Compruebe la versión instalada de Control Web Panel en su infraestructura para determinar si es anterior a la 1.30.
  2. Consulte los detalles oficiales publicados en las referencias técnicas de CVE-2026-58957: Vulnerabilidad Crítica CVSS 8.4 y la documentación del proveedor.
  3. Actualice Control Web Panel a la versión 1.30 o superior para corregir el tratamiento del parámetro user en la API.
  4. Revise los registros del sistema en busca de peticiones sospechosas dirigidas a la ruta /valid_token/.