CVE-2026-35175
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
Ajenti przed wersją 2.2.15 umożliwia uwierzytelnionemu użytkownikowi (korzystającemu z wtyczki auth_users) instalację niestandardowego pakietu, nawet jeśli nie jest on superużytkownikiem. Luka została naprawiona w wersji 2.2.15.
Ocena ryzyka
Uwierzytelniony użytkownik bez uprawnień administratora może zainstalować złośliwy pakiet, co prowadzi do eskalacji uprawnień i potencjalnego przejęcia kontroli nad serwerem.
Rekomendacja
Zaleca się natychmiastową aktualizację Ajenti do wersji 2.2.15 lub nowszej.
Inne podatności w Ajenti
Zobacz wszystkie- CVE-2026-79920Krytyczne
Ajenti to modularny panel administracyjny serwera dla Linuksa i BSD. W wersjach przed 2.2.16 każdy uwierzytelniony użytkownik może wywołać /api/core/tasks/start, aby zakolejkować InstallPlugin, UnInstallPlugin lub UpgradeAll z plugins/plugins/tasks.py bez uprawnień do zarządzania wtyczkami. InstallPlugin i UnInstallPlugin budują specyfikację pakietu pip z niezweryfikowanych pól name i version, a proces roboczy uruchamia pip jako root. Niskouprzywilejowany użytkownik może więc zainstalować, usunąć lub zaktualizować wtyczkę z uprawnieniami roota, co prowadzi do wykonania kodu jako root i pełnego przejęcia hosta. Problem naprawiono w wersji 2.2.16.
- CVE-2020-37002Krytyczne
Ajenti w wersji 2.1.36 zawiera podatność na zdalne wykonanie poleceń po uwierzytelnieniu, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń po pomyślnym zalogowaniu. Atakujący mogą wykorzystać punkt końcowy /api/terminal/create do wysłania ładunku reverse shell netcat, celując w określony adres IP i port.
- CVE-2026-38979Średnie
Ajenti do wersji 2.2.13 zawiera podatność na clickjacking w interfejsie logowania i administracyjnym. Brak nagłówków X-Frame-Options i Content-Security-Policy frame-ancestors w odpowiedziach HTTP umożliwia osadzenie strony w ramce iframe.
Oryginalny opis (angielski, źródło NVD)
Ajenti is a Linux and BSD modular server admin panel. Prior to 2.2.15, an authenticated user (using the auth_users plugin authentication method) could install a custom package even if this user is not superuser. This vulnerability is fixed in 2.2.15.