CVE-2026-43633
KrytyczneCVSS 10.0Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 61 - wyżej niż 61% wszystkich znanych CVE
Streszczenie
HestiaCP w wersjach od 1.9.0 do 1.9.4 zawiera podatność deserializacji w komponencie terminala webowego, spowodowaną niezgodnością formatu sesji między PHP a Node.js. Umożliwia ona nieuwierzytelnionym zdalnym atakującym wykonanie kodu na poziomie roota poprzez wstrzyknięcie spreparowanych danych do nagłówków HTTP.
Ocena ryzyka
Atakujący może przejąć pełną kontrolę nad serwerem, uzyskując dostęp root, co prowadzi do całkowitej kompromitacji systemu, danych i usług.
Rekomendacja
Należy natychmiast zaktualizować HestiaCP do wersji 1.9.5 lub nowszej, która usuwa tę podatność. Jeśli aktualizacja nie jest możliwa, wyłącz komponent terminala webowego.
Oryginalny opis (angielski, źródło NVD)
HestiaCP versions 1.9.0 through 1.9.4 contain a deserialization vulnerability in the web terminal component caused by a session format mismatch between PHP and Node.js that allows unauthenticated remote attackers to achieve root-level code execution. Attackers can inject crafted data into HTTP headers that are processed by the PHP session handler but incorrectly deserialized by the Node.js web terminal component as trusted session values, resulting in arbitrary command execution on systems with the web terminal feature enabled.