CVE-2026-124021 und CVE-2026-124020: Kritische Schwachstellen in Control Web Panel
Dieser Text wurde mit künstlicher Intelligenz (KI) erstellt.Für Control Web Panel (CWP) wurden zwei kritische Schwachstellen veröffentlicht: CVE-2026-124021 und CVE-2026-124020. Beide betreffen CWP-Versionen vor 1.30.6 und erreichen laut CNA-Advisory (CVE.org) einen CVSS-4.0-Wert von 9.2.
Die Schwachstellen betreffen unterschiedliche Funktionen: eine Autorisierungsprüfung der Remote-API sowie den Ablauf zur Passwortwiederherstellung. In beiden Fällen kann eine Befehlsausführung im Kontext des betroffenen Hosting-Kontos möglich werden.
CVE-2026-124021 betrifft laut Advisory die Funktion validate in api/v1/index.php. Ein Angreifer, der über ein Passwortwiederherstellungs-Token und eine vorhersehbare Legacy-Signatur verfügt, kann demnach eine gültige Autorisierung für die Remote-API erhalten, ohne einen regulären API-Schlüssel zu verwenden.
Über den Endpunkt /cronjobsusers/ können laut Advisory beliebige Cron-Befehle angelegt werden. Dadurch ist eine Befehlsausführung als betroffenes Hosting-Konto möglich. Derselbe Token kann zudem den Zugriff auf Routen für globale Konto- und Kontodetails ermöglichen. Diese Routen können Benutzernamen, Kontakt-E-Mail-Adressen und Passwort-Hashes offenlegen.
CVE-2026-124020: Manipulation der Passwortwiederherstellung
CVE-2026-124020 betrifft die Route /v1/lostpass/. Nicht authentisierte Angreifer können laut Advisory den HTTP-Host-Header in den Prozess zur Erzeugung eines Passwort-Reset-Links einbringen.
Laut Advisory kann ein automatisierter Mail-Sicherheitsdienst einen manipulierten Reset-Link aufrufen. Dadurch kann ein gültiges Wiederherstellungs-Token offengelegt werden. Das Token kann anschließend an /login/index.php?acc=newpass erneut verwendet werden, um ein neues Passwort zu setzen. Danach können die Module File Manager und Crontab zur Befehlsausführung als betroffenes Hosting-Konto missbraucht werden.
Patchstatus und Zugriffsbeschränkung
Control Web Panel stellt mit Version 1.30.6 einen Fix für beide Schwachstellen bereit — Details sind im Control Web Panel Changelog dokumentiert. CWP-Installationen vor diesem Versionsstand sollten priorisiert geprüft und aktualisiert werden.
Bis zur Aktualisierung kann der externe Zugriff auf /v1/lostpass/ und /api/v1/index.php durch Firewall- oder WAF-Regeln eingeschränkt werden. Die empfohlenen Maßnahmen umfassen:
Patchstatus und Betroffenheit prüfen.
CWP auf Version 1.30.6 aktualisieren.
Betroffene Systeme priorisieren und mitigieren.
Den externen Zugriff auf /v1/lostpass/ und /api/v1/index.php einschränken.
Kontinuierliches Schwachstellen- und Vendor-Risk-Monitoring etablieren.
Eine aktive Ausnutzung der beiden Schwachstellen ist nicht bekannt. Der Patchstatus und die externe Erreichbarkeit der betroffenen Funktionen bleiben dennoch zu prüfen.
DACH-Kontext
Für Hosting-Anbieter in Deutschland und Österreich, die CWP einsetzen, gelten im Fall einer erfolgreichen Kompromittierung die Meldepflichten nach Art. 33 DSGVO: Werden personenbezogene Daten — etwa Passwort-Hashes oder Kontakt-E-Mail-Adressen — unbefugt offengelegt, ist die zuständige Aufsichtsbehörde innerhalb von 72 Stunden zu informieren. Anbieter, die unter NIS-2 bzw. das österreichische NISG fallen, unterliegen darüber hinaus erweiterten Sicherheits- und Meldepflichten. Für Betreiber in der Schweiz gilt das revidierte Informationssicherheitsgesetz (ISG) mit Meldepflicht ans Bundesamt für Cybersicherheit (BACS).
LocateRisk unterstützt im EASM-Kontext dabei, öffentlich erreichbare Systeme und eingesetzte Software unter eigenen Domains sichtbar zu machen. Damit kann die Prüfung bei extern erreichbaren CWP-Instanzen beginnen — einschließlich vergessener Subdomains oder ungetrackt gebliebener Hosting-Umgebungen, die im regulären Asset-Inventar nicht erfasst sind.
Die Plattform erkennt nicht zwingend die konkret verwundbare Version. Die technische Validierung des Versionsstands sowie das Einspielen des Hersteller-Fixes bleiben operative Aufgaben. Ergänzend kann Cyber Vendor Risk Management (C-VRM) Hinweise liefern, wenn bei Technologieanbietern kritische Schwachstellen veröffentlicht werden oder sich ihr Sicherheitsniveau verändert.
Bin ich betroffen?
Betroffen ist Control Web Panel in den oben genannten Versionen; behoben wurde die Schwachstelle in 1.30.6. Wer wissen will, ob Control Web Panel in der eigenen extern erreichbaren Infrastruktur überhaupt sichtbar ist, kann den CVE-Quick-Check am Ende dieses Artikels nutzen: Er zeigt exponierte Systeme und die von außen erkennbare Software.
Die konkret installierte Version lässt sich von außen nicht in jedem Fall bestimmen — ausschlaggebend ist der Abgleich mit dem Hersteller-Advisory.
CVE-2026-124021 ist eine kritische Schwachstelle in Control Web Panel (CWP) vor Version 1.30.6. Sie betrifft die Autorisierungsprüfung der Remote-API und kann es Angreifern ermöglichen, ohne gültigen API-Schlüssel Zugang zu erlangen und beliebige Befehle auszuführen.
Betroffen sind alle CWP-Installationen mit einer Webpanel-Version vor 1.30.6. Mit Version 1.30.6 stellt der Hersteller einen Fix für beide Schwachstellen bereit.
Als sofortige Übergangslösung kann der externe Zugriff auf die Endpunkte /v1/lostpass/ und /api/v1/index.php über Firewall- oder WAF-Regeln eingeschränkt werden. Die dauerhafte Lösung ist die Aktualisierung auf Version 1.30.6.
Stand: 13.11.2026. Dieser Beitrag dient allgemeinen Informationszwecken und ist keine Rechts-, Sicherheits- oder Handlungsberatung im Einzelfall. Sicherheitslage und Patch-Verfügbarkeit können sich seit der Veröffentlichung geändert haben; maßgeblich ist stets das verlinkte Hersteller-Advisory. Trotz sorgfältiger Recherche übernehmen wir keine Gewähr für Aktualität, Richtigkeit und Vollständigkeit.
CVE Quick Check
Prüfen Sie in wenigen Minuten, ob zu einer aktuellen CVE Hinweise auf Ihrer extern sichtbaren Angriffsfläche erkennbar sind.
Erste Einschätzung in wenigen Minuten per E-Mail.
Details im kostenlosen Gespräch mit einem LocateRisk Consultant.
Das erhalten Sie per E-Mail
UnternehmenIhre Firma GmbH
Geprüfte CVECVE-2026-124021
Passive Bewertung
Hinweise zur CVEgefunden oder nicht gefunden
Mehr erfahren, Demo buchen oder einfach mal kurz austauschen? Wir freuen uns!
We use cookies to optimize our website and our service.
Functional
Immer aktiv
Die technische Speicherung oder der Zugang ist unbedingt erforderlich für den rechtmäßigen Zweck, die Nutzung eines bestimmten Dienstes zu ermöglichen, der vom Teilnehmer oder Nutzer ausdrücklich gewünscht wird, oder für den alleinigen Zweck, die Übertragung einer Nachricht über ein elektronisches Kommunikationsnetz durchzuführen.
Vorlieben
Die technische Speicherung oder der Zugriff ist für den rechtmäßigen Zweck der Speicherung von Präferenzen erforderlich, die nicht vom Abonnenten oder Benutzer angefordert wurden.
Statistics
Die technische Speicherung oder der Zugriff, der ausschließlich zu statistischen Zwecken erfolgt.Die technische Speicherung oder der Zugriff, der ausschließlich zu anonymen statistischen Zwecken verwendet wird. Ohne eine Vorladung, die freiwillige Zustimmung deines Internetdienstanbieters oder zusätzliche Aufzeichnungen von Dritten können die zu diesem Zweck gespeicherten oder abgerufenen Informationen allein in der Regel nicht dazu verwendet werden, dich zu identifizieren.
Marketing
Die technische Speicherung oder der Zugriff ist erforderlich, um Nutzerprofile zu erstellen, um Werbung zu versenden oder um den Nutzer auf einer Website oder über mehrere Websites hinweg zu ähnlichen Marketingzwecken zu verfolgen.
Deutsch 
English 
Français