Control Web Panel 十项漏洞与公开攻击链涉及用户面板和 root API

这批问题影响托管控制面板，且已有公开 PoC 和实验室攻击链，因此维持 L3；这不等于确认在野利用。分数仍为 CNA 的 CVSS 4.0 评分。11 月 3 日完整报告补齐了本文早先遗漏的 CVE-2026-104080，整批实际为十项；公开披露日仍沿用 11 月 2 日的 CVE 记录。

攻击前提： VulnCheck 在 CWP7 webpanel 1.8、AlmaLinux 9 实验环境复现未认证到 root，尽管该版本已修补旧 CVE-2025-48703。公网端口 2083 的用户面板在重定向后继续执行，已知有效托管账户名可定位模块；文件写入、包含和命令路径可组合为账户权限执行，再调用 127.0.0.1:2302 的 root API。API 仍须可达，不能把单个本地向量称为任意公网 root RCE。1.12 关闭未认证入口，但之后的受影响版本仍可能让本机托管账户提权。本文早先的谨慎判断来自单项记录；完整报告现在提供了具体构建上的攻击链证据，并非证明所有配置均可利用。

分阶段修复及差异： CNA 将重定向边界列为 1.12；文件包含、phpini_editor、protected_directory、access_token() 和 /newpass/ 为 1.16；API 缺少认证、数据库恢复、盲 SQL 注入及 valid_token 命令注入为 1.30。研究将最终四项修复归于 1.27/1.29，称最低应到 1.29；它实际解码核验的是 1.30，两个前序版本的拆分来自更新日志，并非逐版独立验证。厂商当前建议所有服务器安装 1.30.1 LTS。保留这一更高推荐，不把有差异的 1.29 当成已由所有来源确认的最低修复版本。两段式 webpanel 版本沿用来源，不提供版本检测器。

回环 API 缺少令牌验证的相关路径包括 /v1/restoredatabase/、/generaluser/、/last_access/、/valid_user/、/valid_token/ 和 /user_panel_dashboard/；这些是排查入口，不是已确认攻击的证据。研究给出实验利用示例；不要把实验文件名当成全部恶意活动指标。

当前更新与回归检查： 1.30.1 LTS 进一步要求端口 2304 的每次 API v1 调用使用密钥，内部迁移路由仅接受本机调用，并加固账户操作、一次性登录链接及 HTTPS 更新下载。确认 /usr/local/cwp/.conf/api_strict_guard_off 未使严格守卫失效。升级后测试集成和邮件：仍使用旧默认值的服务器，可信邮件网络收窄至 127.0.0.0/8；其他私网机器上的应用须通过 SMTP 认证发信。只在页面页脚显示的 1.30.2 没有对应完整发布说明，本次不据此替换明确推荐的 LTS。