CVE-2026-43633

Krytyczne

Opublikowano: 19/05/2026(UTC)Przetłumaczono: 14/06/2026(UTC)NVD NIST

Streszczenie

Wersje HestiaCP od 1.9.0 do 1.9.4 zawierają podatność na deserializację w komponencie terminala webowego, spowodowaną niezgodnością formatu sesji między PHP a Node.js. Umożliwia to nieautoryzowanym atakującym zdalne wykonanie kodu na poziomie root.

Ocena ryzyka

Atakujący mogą wstrzykiwać spreparowane dane do nagłówków HTTP, co prowadzi do wykonania dowolnych poleceń na systemach z włączoną funkcją terminala webowego. To stwarza poważne zagrożenie dla bezpieczeństwa systemów.

Rekomendacja

Zaleca się aktualizację HestiaCP do najnowszej wersji, aby usunąć tę podatność oraz monitorowanie logów w celu wykrycia potencjalnych prób ataków.

Oryginalny opis (angielski, źródło NVD)

HestiaCP versions 1.9.0 through 1.9.4 contain a deserialization vulnerability in the web terminal component caused by a session format mismatch between PHP and Node.js that allows unauthenticated remote attackers to achieve root-level code execution. Attackers can inject crafted data into HTTP headers that are processed by the PHP session handler but incorrectly deserialized by the Node.js web terminal component as trusted session values, resulting in arbitrary command execution on systems with the web terminal feature enabled.