CVE-2026-105475
WysokieCVSS 8.7Streszczenie
W cPanel występuje nieprawidłowa neutralizacja bajtu NUL, co pozwala zdalnym atakującym odczytać dane kalendarza i kontaktów dowolnego konta pocztowego.
Ocena ryzyka
Atakujący może uzyskać dostęp do poufnych danych kalendarza i kontaktów użytkowników, co stanowi naruszenie prywatności i może ułatwić dalsze ataki socjotechniczne. Może to prowadzić do wycieku danych osobowych.
Rekomendacja
Zaktualizuj cPanel do wersji zawierającej poprawkę tego problemu. Przeanalizuj logi dostępu pod kątem nietypowych żądań do danych kalendarza i kontaktów.
Inne podatności w cPanel
Zobacz wszystkie- CVE-2026-105476Wysokie
Nieprawidłowe rozwiązywanie dowiązań przed dostępem do plików w cPanel pozwala uwierzytelnionym zdalnym użytkownikom na zapis dowolnych plików należących do roota i podniesienie uprawnień.
- CVE-2026-87899Krytyczne
cPanel zawiera lukę polegającą na wykonywaniu operacji z niepotrzebnie wysokimi uprawnieniami, co pozwala zdalnym uwierzytelnionym użytkownikom na wykonanie dowolnego kodu z uprawnieniami roota.
- CVE-2026-67401Krytyczne
Podatność w cPanel umożliwia kontu z dostępem do poczty osiągnięcie zdalnego wykonania kodu jako root poprzez SQL Injection w komponencie EmailTrack.
- CVE-2026-58048Krytyczne
W cPanel podczas zmiany nazwy bazy danych nieprawidłowo zachowywany jest tryb SQL, co umożliwia wykonanie zapytań SQL w kontekście roota.
- CVE-2026-65643Wysokie
Podatność typu Eval injection w cPanel 11.138.0.0 i wcześniejszych pozwala zdalnie uwierzytelnionym użytkownikom na wykonanie dowolnego kodu jako root.
- CVE-2026-58047Średnie
W cPanel wykryto podatność typu HTTP Smuggling, która może prowadzić do potencjalnego wycieku danych uwierzytelniających.
- CVE-2025-66429Wysokie
W cPanel w wersjach od 110 do 132 wykryto podatność typu directory traversal w API Team Manager. Umożliwia ona nadpisanie dowolnego pliku, co może prowadzić do podniesienia uprawnień do użytkownika root.
Oryginalny opis (angielski, źródło NVD)
Improper neutralization of a NUL byte in cPanel allows remote attackers to read any mail account's calendar and contact data.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS