CVE-2025-67888

CVSS 7.3 HIGHEPSS 1.2%CWE-78

Vexday Risk Score

56Atenção

Decisão SSVC (CISA)

Attend

PoC disponível → acompanhar de perto

CVSS 7.3EPSS 1.2%KEV nãoPoC públicaNuclei —Metasploit simPatch —

Ciclo de vida

16 dez 2025Exploit Metasploit disponível

18 dez 2025PoC pública

08 mai 2026Publicada no NVD

Recomendação: Planejar correção próxima — já existe PoC pública.

An issue was discovered in Control Web Panel (CWP) before 0.9.8.1209. User input passed via the "key" GET parameter to /admin/index.php (when the "api" parameter is set) is not properly sanitized before being used to execute OS commands. This can be exploited by unauthenticated attackers to inject and execute arbitrary OS commands with the privileges of root on the web server. Softaculous or SitePad must be present.

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L

Produtos afetados

n/a · n/a

PoCs públicas encontradas — 1

githubgithub.com/reewardius/CVE-2025-67888★ 0

⚠ Recursos públicos, para você avaliar a exposição de sistemas que controla ou está autorizado a testar. Teste apenas com autorização.

Referências

http://seclists.org/fulldisclosure/2025/Dec/25 https://karmainsecurity.com/KIS-2025-09 https://wiki.centos-webpanel.com/cwp-security-instructions