CVE-2026-43633
KrytyczneCVSS 10.0Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 61 - wyżej niż 61% wszystkich znanych CVE
Streszczenie
HestiaCP w wersjach od 1.9.0 do 1.9.4 zawiera podatność deserializacji w komponencie terminala webowego, spowodowaną niezgodnością formatu sesji między PHP a Node.js. Umożliwia ona nieuwierzytelnionym zdalnym atakującym wykonanie kodu na poziomie roota poprzez wstrzyknięcie spreparowanych danych do nagłówków HTTP.
Ocena ryzyka
Atakujący może przejąć pełną kontrolę nad serwerem, uzyskując dostęp root, co prowadzi do całkowitej kompromitacji systemu, danych i usług.
Rekomendacja
Należy natychmiast zaktualizować HestiaCP do wersji 1.9.5 lub nowszej, która usuwa tę podatność. Jeśli aktualizacja nie jest możliwa, wyłącz komponent terminala webowego.
Inne podatności w HestiaCP
Zobacz wszystkie- CVE-2025-30008Średnie
W HestiaCP przed wersją 1.9.5 odkryto podatność na trwałe ataki XSS. Uwierzytelnieni użytkownicy z niskimi uprawnieniami mogą wstrzyknąć dowolny kod HTML/JavaScript poprzez utworzenie rekordu DNS z cudzysłowem i ładunkiem skryptu w polu wartości. Aplikacja nie koduje tego pola funkcją htmlspecialchars() w pliku list_dns_rec.php, co pozwala na wykonanie skryptu w przeglądarkach innych użytkowników, w tym administratorów.
- CVE-2025-30007Wysokie
HestiaCP przed wersją 1.9.5 zawiera uwierzytelnioną podatność na wstrzykiwanie poleceń systemu operacyjnego, która umożliwia niskouprzywilejowanym uwierzytelnionym użytkownikom wykonanie dowolnych poleceń jako root poprzez wstrzyknięcie znaku apostrofu do niesprawdzonych typów rekordów DNS. Atakujący mogą wykorzystać niewystarczającą walidację danych wejściowych w funkcji is_dns_record_format_valid() w połączeniu z niebezpiecznym parsowaniem opartym na eval w update_dns_zone(), aby przedwcześnie zamknąć przypisanie zmiennej i uzyskać pełne wykonanie kodu na hoście w jednym kroku tworzenia rekordu DNS.
- CVE-2026-12196Wysokie
Panel HestiaCP zawiera podatność polegającą na złamaniu kontroli dostępu w funkcji cronjob. Użytkownicy z niskimi uprawnieniami mogą modyfikować zadania cron panelu, aby wykonywać skrypty zarządzania HestiaCP z sudo bez hasła.
- CVE-2026-43634Wysokie
HestiaCP w wersjach od 1.2.0 do 1.9.4 zawiera podatność na fałszowanie adresu IP, która pozwala nieuwierzytelnionym zdalnym atakującym ominąć zabezpieczenia uwierzytelniania poprzez podanie dowolnego adresu IP w nagłówku CF-Connecting-IP bez weryfikacji, czy żądanie pochodzi z sieci Cloudflare.
Oryginalny opis (angielski, źródło NVD)
HestiaCP versions 1.9.0 through 1.9.4 contain a deserialization vulnerability in the web terminal component caused by a session format mismatch between PHP and Node.js that allows unauthenticated remote attackers to achieve root-level code execution. Attackers can inject crafted data into HTTP headers that are processed by the PHP session handler but incorrectly deserialized by the Node.js web terminal component as trusted session values, resulting in arbitrary command execution on systems with the web terminal feature enabled.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS