CVE-2026-124021 et CVE-2026-124020 : vulnérabilités critiques dans Control Web Panel
Ce texte a été généré par l'intelligence artificielle (IA).Pour Control Web Panel (CWP) deux vulnérabilités critiques ont été publiées : CVE-2026-124021 et CVE-2026-124020. Les deux concernent les versions de CWP avant 1.30.6 et atteignent selon l'avis CNA (CVE.org) un score CVSS de 4.0 9.2.
Les vulnérabilités concernent différentes fonctions : une vérification d'autorisation de l'API distante ainsi que le processus de réinitialisation du mot de passe. Dans les deux cas, une exécution de commandes dans le contexte du compte d'hébergement concerné peut être possible.
Vulnérabilité : CVE-2026-124021 (CVSS 9.2, critique) ; autres : CVE-2026-124020
Statut : aucun abus avéré à ce jour
CVE-2026-124021 : Contournement de l'autorisation API
CVE-2026-124021 concerne selon l'avis la fonction validate dans api/v1/index.php. Un attaquant disposant d'un jeton de réinitialisation de mot de passe et d'une signature héritée prévisible peut ainsi obtenir une autorisation valide pour l'API distante, sans utiliser de clé API régulière.
Via l'endpoint /cronjobsusers/ , il est possible selon l'avis de créer des commandes Cron arbitraires. Cela permet l'exécution de commandes en tant que compte d'hébergement concerné. Le même jeton peut également permettre l'accès aux routes pour les détails du compte global et du compte. Ces routes peuvent divulguer des noms d'utilisateur, des adresses e-mail de contact et des hachages de mots de passe.
CVE-2026-124020 : Manipulation de la réinitialisation de mot de passe
CVE-2026-124020 concerne la route /v1/lostpass/. Des attaquants non authentifiés peuvent selon l'avis inclure l'en-tête HTTP Host dans le processus de génération d'un lien de réinitialisation de mot de passe.
Selon l'avis, un service de sécurité des e-mails automatisé peut appeler un lien de réinitialisation manipulé. Cela peut révéler un jeton de récupération valide. Le jeton peut ensuite être utilisé à nouveau sur /login/index.php?acc=newpass pour définir un nouveau mot de passe. Par la suite, les modules File Manager et Crontab peuvent être abusés pour exécuter des commandes en tant que compte d'hébergement concerné.
Statut du correctif et restriction d'accès
Control Web Panel fournit avec la version 1.30.6 un correctif pour les deux vulnérabilités - les détails sont documentés dans le changelog de Control Web Panel. Les installations de CWP avant cet état de version doivent être priorisées pour vérification et mise à jour.
Jusqu'à la mise à jour, l'accès externe à /v1/lostpass/ et /api/v1/index.php peut être restreint par des règles de pare-feu ou de WAF. Les mesures recommandées comprennent :
Vérifiez l'état des correctifs et l'impact.
Mettez à jour CWP vers la version 1.30.6 Mettre à jour.
Prioriser et atténuer les systèmes touchés.
Restreindre l'accès externe à /v1/lostpass/ et /api/v1/index.php .
Mettre en place une surveillance continue des vulnérabilités et des risques liés aux fournisseurs.
Aucune exploitation active des deux vulnérabilités n'est connue. Cependant, l'état des correctifs et l'accessibilité externe des fonctions affectées doivent être vérifiés.
Contexte DACH
Pour les fournisseurs d'hébergement en Allemagne et en Autriche utilisant CWP, en cas de compromission réussie, les obligations de déclaration selon l'art. 33 du RGPD s'appliquent : si des données personnelles - telles que des mots de passe hachés ou des adresses e-mail de contact - sont divulguées sans autorisation, l'autorité de contrôle compétente doit être informée dans les 72 heures. Les fournisseurs soumis à NIS-2 ou à la loi autrichienne NISG sont également soumis à des obligations de sécurité et de déclaration élargies. Pour les opérateurs en Suisse, la loi révisée sur la sécurité de l'information (ISG) s'applique avec une obligation de déclaration à l'Office fédéral de la cybersécurité (BACS).
LocateRisk : Classer les systèmes CWP accessibles depuis l'extérieur
LocateRisk aide dans le contexte EASM à rendre visibles les systèmes accessibles au public et les logiciels utilisés sous leurs propres domaines. Cela permet de commencer la vérification des instances CWP accessibles depuis l'extérieur - y compris les sous-domaines oubliés ou les environnements d'hébergement qui n'ont pas été suivis et qui ne figurent pas dans l'inventaire des actifs régulier.
La plateforme ne reconnaît pas nécessairement la version vulnérable spécifique. La validation technique de l'état de la version ainsi que l'application du correctif du fabricant demeurent des tâches opérationnelles. En complément, le Cyber Vendor Risk Management (C-VRM) peut fournir des indications lorsque des vulnérabilités critiques sont publiées chez des fournisseurs de technologies ou que leur niveau de sécurité change.
Suis-je concerné ?
Le Control Web Panel dans les versions mentionnées ci-dessus est concerné ; la vulnérabilité a été corrigée dans 1.30.6. Ceux qui souhaitent savoir si le Control Web Panel est visible dans leur infrastructure accessible depuis l'extérieur peuvent utiliser le Vérification rapide CVE à consulter à la fin de cet article : il présente les systèmes exposés et les logiciels identifiables depuis l'extérieur.
Il n'est pas toujours possible de déterminer la version effectivement installée à partir d'éléments externes — il est essentiel de la comparer avec l'avis de sécurité du fabricant.
CVE-2026-124021 est une vulnérabilité critique dans Control Web Panel (CWP) avant la version 1.30.6. Elle affecte la vérification d'autorisation de l'API à distance et peut permettre aux attaquants d'accéder sans clé API valide et d'exécuter n'importe quelles commandes.
Toutes les installations CWP avec une version de Webpanel antérieure à 1.30.6. Avec la version 1.30.6, le fabricant fournit un correctif pour les deux vulnérabilités.
En tant que solution de transition immédiate, l'accès externe aux points de terminaison /v1/lostpass/ et /api/v1/index.php peut être restreint par des règles de pare-feu ou de WAF. La solution permanente consiste à mettre à jour vers la version 1.30.6.
État : 13.11.2026. Cet article sert à des fins d'information générale et ne constitue pas un conseil juridique, de sécurité ou d'action spécifique. La situation de sécurité et la disponibilité des correctifs peuvent avoir changé depuis la publication ; ce qui est décisif est toujours l'avertissement du fabricant lié. Malgré des recherches minutieuses, nous déclinons toute responsabilité quant à l'actualité, à l'exactitude et à l'exhaustivité.
Vérification rapide CVE
Vérifiez en quelques minutes si votre surface d'attaque visible depuis l'extérieur présente des indices liés à une vulnérabilité CVE actuelle.
Première évaluation en quelques minutes par e-mail.
Pour en savoir plus, contactez gratuitement un consultant LocateRisk.
Vous recevrez cela par e-mail
EntreprisesVotre société GmbH
CVE vérifiésCVE-2026-124021
Évaluation passive
Remarques concernant le CVEtrouvé ou non trouvé
En savoir plus, réserver une démo ou simplement échanger quelques mots ? Nous nous en réjouissons !
Nous utilisons des cookies pour optimiser notre site web et nos services.
Fonctionnel
Always active
le stockage technique ou l'accès est strictement nécessaire dans le but légitime de permettre l'utilisation d'un service spécifique expressément demandé par l'abonné ou l'utilisateur, ou dans le seul but d'effectuer la transmission d'une communication par la voie d'un réseau de communications électroniques
Préférences
le stockage ou l'accès technique est nécessaire aux fins légitimes de la conservation des préférences qui n'ont pas été demandées par l'abonné ou l'utilisateur.
Statistiques
le stockage ou l'accès technique, à des fins exclusivement statistiques.le stockage ou l'accès technique, utilisé uniquement à des fins statistiques anonymes. En l'absence d'une citation, d'un accord volontaire de ton fournisseur d'accès à Internet ou d'enregistrements supplémentaires de tiers, les informations stockées ou consultées à cette seule fin ne peuvent généralement pas être utilisées pour t'identifier.
Marketing
Le stockage technique ou l'accès est nécessaire pour créer des profils d'utilisateurs, pour envoyer des publicités ou pour suivre l'utilisateur sur un site web ou sur plusieurs sites web à des fins de marketing similaires.
Français 
Deutsch 
English