Control Web Panel < 0.9.8.1225 Blind SQL Injection via userRes Parameter 漏洞概述 Control Web Panel 0.9.8.1225 版本存在一个盲 SQL 注入漏洞,攻击者可以通过向 参数提交未经验证的输入来执行任意 SQL 查询。利用该漏洞,攻击者可以获取 MySQL 的 root 权限,并通过 写入任意文件,从而在 web 可访问的 roundcube 日志目录中部署 PHP Webshell,最终实现远程代码执行。 影响范围 Control Web Panel < 0.9.8.1225 修复方案 升级到 Control Web Panel 0.9.8.1225 或更高版本。 参考链接 KarmainSecurity Disclosure Control Web Panel Changelog 其他信息 严重性: Critical 日期: 7/1/2026 CVE: CVE-2026-57517 CWE: CWE-89 (Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection')) CVSS: 9.3 CVSS V4 Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/NI:N/SA:N Credit: Egidio Romano