CVE-2026-111627
WysokieCVSS 7.2Streszczenie
HestiaCP w wersji przed 1.10.5 zawiera lukę obejścia autoryzacji, która pozwala administratorom niebędącym ROOT_USER wykonywać akcje zapisu, podszywając się pod chronione konto ROOT_USER. Atakujący może zalogować się przez parametr loginas i wysłać żądanie POST do /add/cron/, ponieważ flaga tylko do odczytu nie jest sprawdzana, co powoduje uruchomienie jego poleceń przez crond na koncie systemowym chronionego administratora.
Ocena ryzyka
Atakujący z uprawnieniami administratora może wykonać dowolne polecenia jako konto ROOT_USER, co prowadzi do pełnego przejęcia serwera i eskalacji uprawnień. Stanowi to poważne zagrożenie dla poufności, integralności i dostępności hostingu.
Rekomendacja
Zaktualizuj HestiaCP do wersji 1.10.5 lub nowszej. Do czasu aktualizacji ogranicz dostęp do panelu i zweryfikuj, czy flaga tylko do odczytu jest egzekwowana dla kont niebędących ROOT_USER.
Inne podatności w HestiaCP
Zobacz wszystkie- CVE-2026-43633Krytyczne
HestiaCP w wersjach od 1.9.0 do 1.9.4 zawiera podatność deserializacji w komponencie terminala webowego, spowodowaną niezgodnością formatu sesji między PHP a Node.js. Umożliwia ona nieuwierzytelnionym zdalnym atakującym wykonanie kodu na poziomie roota poprzez wstrzyknięcie spreparowanych danych do nagłówków HTTP.
- CVE-2025-30008Średnie
W HestiaCP przed wersją 1.9.5 odkryto podatność na trwałe ataki XSS. Uwierzytelnieni użytkownicy z niskimi uprawnieniami mogą wstrzyknąć dowolny kod HTML/JavaScript poprzez utworzenie rekordu DNS z cudzysłowem i ładunkiem skryptu w polu wartości. Aplikacja nie koduje tego pola funkcją htmlspecialchars() w pliku list_dns_rec.php, co pozwala na wykonanie skryptu w przeglądarkach innych użytkowników, w tym administratorów.
- CVE-2025-30007Wysokie
HestiaCP przed wersją 1.9.5 zawiera uwierzytelnioną podatność na wstrzykiwanie poleceń systemu operacyjnego, która umożliwia niskouprzywilejowanym uwierzytelnionym użytkownikom wykonanie dowolnych poleceń jako root poprzez wstrzyknięcie znaku apostrofu do niesprawdzonych typów rekordów DNS. Atakujący mogą wykorzystać niewystarczającą walidację danych wejściowych w funkcji is_dns_record_format_valid() w połączeniu z niebezpiecznym parsowaniem opartym na eval w update_dns_zone(), aby przedwcześnie zamknąć przypisanie zmiennej i uzyskać pełne wykonanie kodu na hoście w jednym kroku tworzenia rekordu DNS.
- CVE-2026-12196Wysokie
Panel HestiaCP zawiera podatność polegającą na złamaniu kontroli dostępu w funkcji cronjob. Użytkownicy z niskimi uprawnieniami mogą modyfikować zadania cron panelu, aby wykonywać skrypty zarządzania HestiaCP z sudo bez hasła.
- CVE-2026-43634Wysokie
HestiaCP w wersjach od 1.2.0 do 1.9.4 zawiera podatność na fałszowanie adresu IP, która pozwala nieuwierzytelnionym zdalnym atakującym ominąć zabezpieczenia uwierzytelniania poprzez podanie dowolnego adresu IP w nagłówku CF-Connecting-IP bez weryfikacji, czy żądanie pochodzi z sieci Cloudflare.
Oryginalny opis (angielski, źródło NVD)
HestiaCP before 1.10.5 contains an authorization bypass vulnerability that allows non-ROOT_USER administrators to perform write actions while impersonating the protected ROOT_USER account. Attackers can log in via the loginas parameter and POST to /add/cron/, because the read-only flag is never checked, causing crond to run their commands as the protected administrator's system account.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS