Control Web Panel の loopback API の脆弱性 5 件（CVE-2026-77877・77878・77879・77880・104080）: 認証欠如・SQL インジェクション・OS コマンドインジェクションで root 権限の実行に至る（1.16・1.30 より前）

NVD は 2026-11-02 に、Control Web Panel（CWP）の loopback API に関する脆弱性 5 件を登録しました。いずれも、サーバー内から loopback API サービスに到達できる攻撃者が、root 権限で動く API ルートを悪用できるというものです。CVSS v3.1 は 7.7〜8.4、v4.0 は 8.5〜8.6 で、攻撃の経路（AV）はいずれも「ローカル」です。

概要

CVE	対象	問題	CWE	CVSS v3.1 / v4.0
CVE-2026-77877	webpanel_version 1.30 より前	loopback API に認証がなく、アクセストークンなしで root 権限の API ルート（/v1/restoredatabase/、/generaluser/、/last_access/、/valid_user/、/valid_token/、/user_panel_dashboard/ など）を呼べる	CWE-306	8.4 / 8.6
CVE-2026-77878	1.30 より前	データベース復元ルート /v1/restoredatabase/ で、POST 本文のファイルパスがエスケープされずシェルコマンドに渡り、root として任意のコマンドを実行できる	CWE-78	8.4 / 8.6
CVE-2026-77879	1.16 より前	API の認証処理 access_token() が MySQL に root で接続し、authorization_code と client_id を直接クエリに埋め込むため、SQL インジェクションで内容の読み取りや認証結果の偽装ができる	CWE-89	7.7 / 8.5
CVE-2026-77880	1.16 より前	パスワード変更ルート /newpass/（root で動作）で、POST の user パラメータがエスケープされずシェルコマンドに渡り、root 権限でコマンドを実行できる	CWE-78	8.4 / 8.6
CVE-2026-104080	1.30 より前	/valid_token/ ルートで、検証されない user パラメータが shell_exec() に渡り、認証なしで root としてコマンドを実行できる	CWE-78	8.4 / 8.6

NVD の公開日は 5 件とも 2026-11-02 です。CVSS は VulnCheck が付与した値（種別 Primary または Secondary）で、NVD 自身の分析は未実施（状態は Deferred）です。

影響範囲

• 5 件に共通する前提は、loopback API サービスに到達できることです。NVD は「到達できる攻撃者」と記載しており、CVSS の攻撃経路もローカル（AV:L）です。インターネットから直接到達できるという記載ではありません。
• ただし、同じサーバー上で動くほかの脆弱なコードや、サーバー内の別のアカウントから到達できる場合、root 権限の奪取に至ります。たとえば、別の脆弱性でユーザーパネル側のコードが実行できた場合に、この API を経由して権限が root に上がる、という連鎖は考えられます（これは本記事の推測で、実際の連鎖は確認していません）。
• 修正版の境界は CVE ごとに異なります。77879 と 77880 は webpanel_version 1.16 より前、77877・77878・104080 は 1.30 より前が対象です。1.30 より前の環境は 5 件すべての対象になります。
• 攻撃の具体的な手順は本記事では扱いません。

修正

NVD の記載では、77879・77880 は 1.16 より前、残りの 3 件は 1.30 より前が影響範囲で、それ以降の版で修正されたと読めます。NVD の参照には、ベンダーの変更履歴（control-webpanel.com/changelog）と VulnCheck の勧告が挙がっています。ただし、変更履歴の本文は確認できていないため、各版で何が直されたかは断定しません。

数値と出典（2026-11-03 時点）

項目	内容
NVD の状態	5 件とも Deferred（NVD 自身の分析は未実施）
CVSS	上の表のとおり。いずれも VulnCheck が付与
EPSS	5 件とも未算定（FIRST の API に該当データなし）
KEV	掲載なし（CISA のカタログを確認）
出典	NVD、VulnCheck の勧告、FIRST（EPSS）、CISA（KEV）

severity を high とした提案の理由

認証が不要な経路を含み、root 権限での実行に至りますが、5 件とも CVSS の攻撃経路がローカル（AV:L）で、v3.1 は 7.7〜8.4 と 9 に届きません。過去の判断の基準（認証不要かつ CVSS 9 以上は critical、それ以外は high）に従い high を提案します。同じ製品の別の脆弱性（ユーザーパネルの認証回避・コマンドインジェクション）とあわせて悪用されると影響が大きくなる点は、判断の材料として残しておきます。

対応として考えられること

1. CWP を使っている場合は webpanel_version を確認し、1.30 以降に更新します。1.30 より前の環境が 5 件すべての対象です。
2. loopback API サービスに、サーバー内のほかのプロセスやアカウントから到達できる状態になっていないかを点検します。
3. 同じ製品で同時期に公開された別の脆弱性（ユーザーパネルの認証回避、パストラバーサル、コマンドインジェクション）も、あわせて版を確認します。
4. 更新までの間は、サーバー内の不審なプロセスや、root で実行された不明なコマンドの履歴を点検します。

未確認の点

• 実際の攻撃での悪用は確認していません。
• 変更履歴の本文（各版で何が直されたか）は確認できていません。
• loopback API が、既定の設定でサーバー外から到達できるかは確認できていません。
• 利用サーバーの数は確認できていません。
• NVD の分析は未実施です。