Исследователь VulnCheck нашёл десять ошибок в панели Control Web Panel, позволявших обойти авторизацию и выполнить команды с максимальными привилегиями. Главный дефект скрывался в обработке запросов на порту 2083, где PHP-код продолжал работать даже после перенаправления на страницу входа.
Для атаки хватило действительного имени хостинг-аккаунта без пароля. Эксплойт исследователя получил оболочку с uid=0, то есть полные права root, даже на сервере с ранее исправленной уязвимостью CVE-2025-48703.
Разработчики закрывали проблемы постепенно: версии 1.12, 1.16, 1.27 и 1.29 устраняли разные части цепочки, а полностью исправленной считается 1.29 от 31 октября 2026 года. Администраторам советуют обновиться до версии 1.29 или новее и не открывать панели управления всему интернету.