CVE-2026-43634
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
HestiaCP w wersjach od 1.2.0 do 1.9.4 zawiera podatność na fałszowanie adresu IP, która pozwala nieuwierzytelnionym zdalnym atakującym ominąć zabezpieczenia uwierzytelniania poprzez podanie dowolnego adresu IP w nagłówku CF-Connecting-IP bez weryfikacji, czy żądanie pochodzi z sieci Cloudflare.
Ocena ryzyka
Atakujący może ominąć ochronę fail2ban przed atakami brute-force, obejść listy dozwolonych IP na użytkownika i sfałszować dzienniki audytu uwierzytelniania, podszywając się pod zaufane adresy IP.
Rekomendacja
Należy zaktualizować HestiaCP do wersji 1.9.5 lub nowszej, która zawiera poprawkę usuwającą tę podatność.
Inne podatności w HestiaCP
Zobacz wszystkie- CVE-2026-43633Krytyczne
HestiaCP w wersjach od 1.9.0 do 1.9.4 zawiera podatność deserializacji w komponencie terminala webowego, spowodowaną niezgodnością formatu sesji między PHP a Node.js. Umożliwia ona nieuwierzytelnionym zdalnym atakującym wykonanie kodu na poziomie roota poprzez wstrzyknięcie spreparowanych danych do nagłówków HTTP.
- CVE-2025-30008Średnie
W HestiaCP przed wersją 1.9.5 odkryto podatność na trwałe ataki XSS. Uwierzytelnieni użytkownicy z niskimi uprawnieniami mogą wstrzyknąć dowolny kod HTML/JavaScript poprzez utworzenie rekordu DNS z cudzysłowem i ładunkiem skryptu w polu wartości. Aplikacja nie koduje tego pola funkcją htmlspecialchars() w pliku list_dns_rec.php, co pozwala na wykonanie skryptu w przeglądarkach innych użytkowników, w tym administratorów.
- CVE-2025-30007Wysokie
HestiaCP przed wersją 1.9.5 zawiera uwierzytelnioną podatność na wstrzykiwanie poleceń systemu operacyjnego, która umożliwia niskouprzywilejowanym uwierzytelnionym użytkownikom wykonanie dowolnych poleceń jako root poprzez wstrzyknięcie znaku apostrofu do niesprawdzonych typów rekordów DNS. Atakujący mogą wykorzystać niewystarczającą walidację danych wejściowych w funkcji is_dns_record_format_valid() w połączeniu z niebezpiecznym parsowaniem opartym na eval w update_dns_zone(), aby przedwcześnie zamknąć przypisanie zmiennej i uzyskać pełne wykonanie kodu na hoście w jednym kroku tworzenia rekordu DNS.
- CVE-2026-12196Wysokie
Panel HestiaCP zawiera podatność polegającą na złamaniu kontroli dostępu w funkcji cronjob. Użytkownicy z niskimi uprawnieniami mogą modyfikować zadania cron panelu, aby wykonywać skrypty zarządzania HestiaCP z sudo bez hasła.
Oryginalny opis (angielski, źródło NVD)
HestiaCP versions 1.2.0 through 1.9.4 contain an IP spoofing vulnerability that allows unauthenticated remote attackers to bypass authentication security controls by supplying an arbitrary IP address in the CF-Connecting-IP HTTP header without verifying the request originated from Cloudflare's network. Attackers can exploit this to circumvent fail2ban brute-force protection, bypass per-user IP allowlists, and poison authentication audit logs by spoofing trusted IP addresses on each request.