¿Qué es la vulnerabilidad CVE-2026-77879 en Control Web Panel?
Control Web Panel (CWP) anterior a la webpanel_version 1.16 presenta una vulnerabilidad crítica de inyección SQL registrada como CVE-2026-77879 con una puntuación CVSS de 7.7. El fallo se localiza en la pasarela de autenticación de la API loopback access_token(), la cual se conecta a MySQL con permisos de root e interpola directamente valores controlados por atacantes en su consulta.
Los atacantes pueden inyectar código SQL a través de los parámetros authorization_code y client_id. Esto permite leer contenidos arbitrarios de la base de datos y falsificar el resultado de la autenticación, omitiendo por completo el mecanismo de verificación de la API.
¿A quién afecta este fallo de inyección SQL?
El problema afecta directamente a todos los administradores de sistemas y servidores que ejecutan instancias de Control Web Panel en versiones inferiores a la 1.16. Dado que la interfaz loopback se conecta a la base de datos con privilegios elevados de root, el impacto potencial sobre la confidencialidad y la integridad es severo.
Aunque existen paralelismos en otros entornos con incidencias como CVE-2026-58946 o CVE-2026-58957 relacionadas con elevación de privilegios, este caso específico destaca por el fallo de interpolación en la API.
¿Cómo me protejo?
Para mitigar los riesgos derivados de esta vulnerabilidad, los administradores deben aplicar las actualizaciones oficiales de inmediato y seguir buenas prácticas de endurecimiento de servidores. La consulta de los registros de auditoría ayudará a identificar intentos previos de explotación.
Siga los pasos recomendados a continuación para asegurar su infraestructura frente a este vector de ataque.
- Compruebe la versión instalada de Control Web Panel ejecutando las herramientas de diagnóstico del sistema.
- Visite el registro de cambios oficial en https://control-webpanel.com/changelog para verificar los detalles del parche.
- Actualice Control Web Panel a la webpanel_version 1.16 o superior siguiendo las directrices del proveedor.
- Revise los detalles técnicos adicionales expuestos en https://www.vulncheck.com/advisories/control-web-panel-cwp-sql-injection-privileges para auditar la red.